CVE-2026-62253: Homer: bypass completo de autenticação quando coordinator.jwt.secret está vazio (padrão)
O Homer antes da 11.0.283 ignora a validação JWT quando o segredo JWT é uma string vazia, que é o valor padrão. Em uma instalação padrão, endpoints de API protegidos podem ser acessados sem autenticação. O registro atribui pontuação CVSS base de 9.8 e indica a 11.0.283 como versão corrigida.
Visão geral
O Homer é um software de observabilidade de telecomunicações de código aberto. Segundo os dados do aviso presentes no registro, as duas funções de middleware JWT retornam antes de validar qualquer token quando o segredo JWT é uma string vazia. Esse valor é o padrão, portanto a fragilidade existe em uma instalação padrão.
Impacto
- A pontuação CVSS base registrada para este CVE é 9.8, classificada como crítica.
- A fragilidade é classificada como CWE-306, ausência de autenticação para uma função crítica.
- De acordo com o registro, endpoints de API protegidos podem ser alcançados sem autenticação em uma instalação padrão. Os dados SSVC do registro indicam impacto técnico total.
Produtos e versões afetados
- Produto: Sipcapture Homer.
- Afetados: antes da 11.0.283.
- Corrigido em: 11.0.283, conforme a descrição e a referência de lançamento. O campo estruturado de correções do registro está vazio, então a informação de correção vem da descrição e das referências vinculadas.
Status de exploração
Segundo o registro, este CVE não consta no catálogo KEV da CISA, portanto nenhuma exploração ativa é confirmada. As fontes consultadas não confirmam exploração in the wild. Os dados SSVC classificam a exploração como prova de conceito, e a probabilidade EPSS é 0.00423.
Correção e mitigação
- Atualize o Homer para a 11.0.283 ou para uma versão posterior que inclua a correção descrita no aviso de segurança do GitHub.
- Enquanto a atualização não for aplicada, confirme que há um segredo JWT não vazio configurado e restrinja o acesso de rede ao serviço Homer a fontes confiáveis.
- Avalie se instâncias ficaram expostas a redes não confiáveis enquanto operavam com a configuração padrão.
Orientações de detecção
- Revise os logs de acesso à API em busca de requisições bem-sucedidas sem token de autenticação, especialmente de origens inesperadas.
- Audite arquivos de configuração e parâmetros de implantação em busca de segredo JWT vazio ou ausente no componente coordinator.
Limitações das informações disponíveis
O registro não fornece dados estruturados de versão corrigida além da descrição, não lista os implantações afetadas e não confirma se alguma instância foi comprometida. O conjunto completo de endpoints protegidos é descrito apenas em termos gerais.
Perguntas frequentes
Quais versões do Homer são afetadas pelo CVE-2026-62253?
O registro indica o Sipcapture Homer antes da 11.0.283 como afetado.
Qual é a versão corrigida?
O registro e a referência de lançamento vinculada indicam a 11.0.283 como versão corrigida.
Há exploração ativa conhecida dessa vulnerabilidade?
Não. O registro mostra que o CVE não consta no catálogo KEV da CISA, e as fontes consultadas não confirmam exploração in the wild.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.