CVE-2026-42869: SOCFortress CoPilot: segredo JWT fixo permite forjar tokens de autenticação
As versões do SOCFortress CoPilot anteriores à 0.1.57 usam, como alternativa, um segredo de assinatura JWT fixo no código quando JWT_SECRET não está definido, inclusive na configuração padrão do Docker Compose. Segundo o registro, um atacante não autenticado poderia usar esse valor publicamente conhecido para forjar tokens com escopo de administrador e controlar a aplicação. A falha está corrigida na 0.1.57, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O SOCFortress CoPilot é uma plataforma de operações de segurança. Segundo o registro, as versões anteriores à 0.1.57 usam, como alternativa, um segredo de assinatura JWT fixo no arquivo backend/app/auth/utils.py e o repetem em .env.example. A fraqueza é classificada como CWE-287, Autenticação Imprópria.
Impacto
Quando JWT_SECRET não é definido explicitamente, inclusive na configuração padrão do Docker Compose, os tokens de autenticação são assinados com um valor publicamente conhecido. O registro afirma que um atacante não autenticado poderia forjar tokens com escopo de administrador e obter controle total da aplicação e das ferramentas de segurança que ela gerencia. A pontuação base CVSS 3.1 é 10 (Crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
Produtos e versões afetados
- Produto: SOCFortress CoPilot.
- Afetados: versões anteriores à 0.1.57, conforme a descrição.
- Corrigida: 0.1.57, conforme a descrição e o aviso do GitHub referenciado.
- O registro não contém dados estruturados de versões afetadas ou corrigidas, por isso os intervalos exatos devem ser confirmados no aviso.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS registrada é 0,00778, com percentil de 0,54695.
Correção e mitigação
- Atualize para a versão 0.1.57 ou posterior.
- Defina um JWT_SECRET único e de alta entropia em cada implantação antes da inicialização, sem reutilizar o valor presente em .env.example.
- Após a atualização, considere rotacionar segredos e invalidar sessões emitidas enquanto o valor de fallback estava em uso, como medida de precaução.
- Restrinja a exposição de rede da interface de gerenciamento a redes confiáveis.
Orientações de detecção
- Revise os logs de autenticação em busca de atividade administrativa vinda de origens inesperadas ou sem sessão de usuário correspondente.
- Verifique se há implantações com JWT_SECRET ausente ou com valor padrão.
- Audite repositórios de configuração e arquivos de ambiente de contêineres em busca do segredo de exemplo distribuído.
Limitações das informações disponíveis
O registro não traz lista estruturada de produtos afetados, lista de versões corrigidas ou detalhes do KEV além do status de listagem. As fontes consultadas não informam quando o segredo de fallback foi exposto pela primeira vez nem se alguma instância foi atacada. A recomendação de invalidar sessões é uma inferência, não um requisito documentado pelo fornecedor.
Perguntas frequentes
Qual é o problema central da CVE-2026-42869?
As versões do SOCFortress CoPilot anteriores à 0.1.57 usam um segredo JWT de fallback fixo quando JWT_SECRET não é definido. Como o valor é publicamente conhecido, segundo o registro, tokens de autenticação podem ser forjados.
Qual versão corrige a vulnerabilidade?
O registro e o aviso do GitHub referenciado informam que a falha está corrigida na versão 0.1.57. A recomendação é atualizar e definir um JWT_SECRET único.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.