CVE-2026-6911: AWS Ops Wheel: verificação de assinatura JWT ausente
O AWS Ops Wheel não verifica a assinatura de JSON Web Tokens, o que permitiria a um atacante não autenticado forjar um token e obter acesso administrativo não pretendido. O registro associa o problema a endpoints do API Gateway e aponta possível acesso a dados entre tenants e gestão de contas no User Pool do Cognito. A pontuação CVSS 3.1 é 9,8 (crítica), e as fontes consultadas não mostram exploração confirmada.
Visão geral
A CVE-2026-6911 afeta o AWS Ops Wheel, uma aplicação cuja API não verifica a assinatura de JSON Web Tokens (JWT). A fraqueza está classificada como CWE-347, Verificação Imprópria de Assinatura Criptográfica. O registro foi publicado em 24/04/2026 e está atualmente com o status Awaiting Analysis.
Impacto
Segundo o registro, um atacante não autenticado que alcance o endpoint do API Gateway poderia enviar um token forjado que a aplicação aceita. Isso poderia conceder acesso administrativo não pretendido, incluindo leitura, alteração e exclusão de dados da aplicação em todos os tenants, além da gestão de contas de usuário no Cognito User Pool da implantação.
Produtos e versões afetados
O produto indicado é o AWS Ops Wheel. Os dados estruturados não listam faixas de versões afetadas ou versões corrigidas, portanto o escopo exato da vulnerabilidade não pode ser determinado com as fontes consultadas. O registro recomenda reimplantar a partir do repositório atualizado e corrigir qualquer código bifurcado ou derivado.
Status de exploração
Segundo o registro, a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A ausência de relatos não reduz a urgência, dada a classificação crítica e a natureza de contorno de autenticação da falha.
Correção e mitigação
- Reimplante o AWS Ops Wheel a partir do repositório atualizado citado no pull request do fornecedor e no aviso de segurança do GitHub.
- Identifique eventuais forks ou códigos derivados e confirme que a correção de verificação de assinatura foi incorporada.
- Quando for operacionalmente viável, limite a exposição do endpoint da API até que a implantação corrigida esteja em produção.
- Consulte o boletim de segurança da AWS para orientações relacionadas.
Orientações de detecção
- Revise os logs de acesso do API Gateway em busca de requisições aos endpoints do Ops Wheel com ações administrativas inesperadas ou declarações de identidade desconhecidas.
- Audite alterações no Cognito User Pool, como criação, modificação ou exclusão de contas, em busca de atividades que os administradores não consigam explicar.
- Verifique a integridade dos dados da aplicação quanto a modificações ou exclusões inesperadas, inclusive entre fronteiras de tenants.
Limitações das informações disponíveis
O registro não informa faixas de versões afetadas, números de versões corrigidas nem detalhes de exploração. Estão registradas uma pontuação CVSS 3.1 base de 9,8 e uma pontuação CVSS 4.0 de 9,3. A entrada EPSS indica probabilidade de 0,00422 e percentil de 0,34744, mas sua data deve ser verificada na fonte original. Os detalhes específicos da correção devem ser confirmados no aviso vinculado.
Perguntas frequentes
O que é a CVE-2026-6911?
É um problema crítico no AWS Ops Wheel em que assinaturas JWT não são verificadas, então um token forjado pode ser aceito como válido. O registro descreve possível acesso administrativo não pretendido.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Como as organizações devem responder?
Reimplante o AWS Ops Wheel a partir do repositório atualizado e garanta que forks ou códigos derivados incluam a correção. Consulte o aviso vinculado para detalhes sobre a versão corrigida.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.