CVE-2026-42864: FireFighter: falta de autenticação no endpoint do bot Jira (CWE-306)

Visão geral

FireFighter é uma aplicação de gestão de incidentes. Segundo o registro da vulnerabilidade, um endpoint do bot Jira (CreateJiraBotView) pode ser acessado sem autenticação nas versões anteriores à 0.0.54. O tratamento de anexos busca URLs remotas a partir do servidor sem validação e envia o resultado a um ticket Jira recém-criado. Referência principal: GitHub Security Advisory GHSA-fqvv-jvhr-g5jc.

Impacto

Falta de autenticação: o endpoint aceita chamadores anônimos, e o código não exige o token Bearer que a docstring da view descreve.
Requisições feitas pelo servidor: o servidor pode ser levado a requisitar URLs arbitrárias, padrão conhecido como falsificação de requisição do lado do servidor (classificação nossa, não declarada no registro).
Exposição de dados: respostas dessas URLs podem ser armazenadas como anexos no Jira, onde o chamador pode consultá-las.
Credenciais de nuvem: em implantações EC2 ou EKS que não exigem token de sessão para o serviço de metadados da instância, as credenciais temporárias do papel IAM do pod podem ser expostas. O registro afirma esse desfecho.

O registro atribui CWE-306 (Missing Authentication for Critical Function) e pontuação base CVSS 3.1 de 9.9, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:L.

Produtos e versões afetadas

FireFighter, versões anteriores à 0.0.54: descritas como afetadas pelo texto do aviso.
Os campos estruturados de afetados e correções do registro estão vazios, por isso a faixa exata de versões e eventuais correções retroportadas para ramos antigos não são confirmadas pelos dados estruturados.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS informada no registro é 0.0045. Não se deve presumir exploração ativa, mas implantações expostas merecem atenção rápida, pois a falha não exige credenciais.

Correção e mitigação

Atualização: atualize o FireFighter para a versão 0.0.54 ou posterior, conforme indicado no registro.
Restrição de acesso: limite a alcançabilidade de rede do endpoint do bot Jira a origens confiáveis até concluir a atualização.
Reforço do serviço de metadados: exija token de sessão para metadados das instâncias EC2 e revise a configuração dos nós EKS.
Redução de privilégios: mantenha o papel IAM do pod com o mínimo de permissões necessárias.
Controle de saída: restrinja o tráfego HTTP de saída dos pods da aplicação ao que a carga de trabalho precisa.

Orientação para detecção

Revise logs de ingress ou da aplicação em busca de requisições não autenticadas à rota do bot Jira e correlacione com novos tickets que contenham anexos inesperados.
Monitore conexões de saída incomuns dos pods do FireFighter para endereços de metadados internos ou hosts externos desconhecidos.
Audite o uso recente do papel IAM do pod para atividades vindas de origens ou endereços inesperados.

Limitações das informações disponíveis

O registro não identifica todas as faixas de versões afetadas, e a lista estruturada de afetados está vazia.
Não é possível confirmar, a partir do registro, se a correção na 0.0.54 inclui uma verificação de autenticação completa ou apenas a mudança no tratamento de URLs.
As páginas do NVD e do CVE Program foram listadas como fontes, mas seu conteúdo detalhado não foi incluído no registro.
O registro indica status de fonte Deferred, então podem surgir atualizações adicionais.
Os dados de EPSS e CVSS vêm do registro como fornecidos e podem mudar com o tempo.

Perguntas frequentes

Esta CVE está sendo explorada ativamente?

O registro mostra que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. Mesmo assim, recomenda-se atualizar com rapidez, pois nenhuma credencial é necessária para alcançar o endpoint.

Qual versão corrige o problema?

O texto do aviso no registro afirma que a vulnerabilidade foi corrigida na versão 0.0.54. As versões anteriores à 0.0.54 são descritas como afetadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.