CVE-2026-42882: Bypass de autenticação no s3-proxy por divergência na interpretação de caminhos

Visão geral

A CVE-2026-42882 é uma falha de tratamento de caminhos no oxyno-zeta/s3-proxy, um proxy para AWS S3 escrito em Go. Segundo o registro, o middleware de autenticação e o bucket handler derivam caminhos diferentes da mesma requisição, de modo que a verificação de acesso pode não corresponder ao objeto efetivamente acessado. A fraqueza é classificada como CWE-22 (Path Traversal).

Impacto

O registro afirma que um atacante não autenticado com acesso à rede pode realizar operações PUT, GET ou DELETE não autorizadas em objetos de namespaces que deveriam exigir autenticação. O CNA atribuiu pontuação base CVSS 3.1 de 9.4, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L, que corresponde a alto impacto na confidencialidade e na integridade e baixo impacto na disponibilidade.

Produtos e versões afetados

Produto: oxyno-zeta/s3-proxy.
Versões afetadas: a descrição indica versões anteriores à 5.0.0.
Versão corrigida: 5.0.0, conforme a descrição.
Os campos estruturados de afetados e correções do registro estão vazios, por isso a faixa de versões foi obtida apenas do texto da descrição.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00719, com percentil de 0.5265; esse valor estima probabilidade e não confirma exploração.

Correção e mitigação

Atualize o s3-proxy para a versão 5.0.0 ou posterior, conforme indicado na descrição e no advisory upstream.
Consulte o advisory upstream GHSA-rfgq-wgg8-662p e os commits relacionados 1320e4a e af5ff57 para confirmar o escopo da mudança.
Enquanto a correção não for possível, restrinja a exposição de rede do proxy para que apenas clientes confiáveis o acessem e trate os buckets protegidos como potencialmente expostos.
Verifique a integridade de buckets e objetos sensíveis que estiveram acessíveis pelo proxy.

Orientações de detecção

Revise os logs do proxy e de reverse proxies em busca de requisições a namespaces protegidos sem autenticação válida, especialmente as que contenham separadores codificados ou segmentos dot-dot.
Gere alertas para criação, modificação ou exclusão inesperadas de objetos em buckets servidos pelo proxy, sobretudo quando a requisição de origem não estiver associada a uma identidade autenticada.
Correlacione eventos de auditoria do armazenamento com os logs de acesso do proxy para identificar operações bem-sucedidas sem sessão autenticada correspondente.

Limitações das informações disponíveis

O registro não inclui faixas estruturadas de versões afetadas, listas de versões corrigidas nem o texto completo do advisory e dos commits. Se versões anteriores são afetadas, além da expressão anteriores à 5.0.0, é desconhecido. O título estava ausente no registro de origem, por isso o título aqui é um resumo derivado. Nenhuma prova de conceito pública ou atividade observada na natureza foi encontrada nas fontes consultadas.

Perguntas frequentes

Quais versões do s3-proxy são afetadas pela CVE-2026-42882?

A descrição indica que versões anteriores à 5.0.0 são afetadas. A lista estruturada de versões afetadas no registro está vazia, por isso a faixa exata vem apenas dessa descrição.

A CVE-2026-42882 está sendo explorada ativamente?

O registro mostra que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer primeiro?

Atualizar o s3-proxy para a versão 5.0.0 ou posterior, limitar a exposição de rede do proxy até a correção e revisar logs e alterações nos buckets em busca de atividade inesperada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.