CVE-2026-8660: Injeção de Comando do Sistema Operacional no Plugin Ping do Rapid7 InsightConnect
Uma falha crítica de injeção de comando do sistema operacional (CWE-78) na ação ping do Plugin Ping do Rapid7 InsightConnect, em Linux, permite que atacantes remotos executem comandos arbitrários por meio do parâmetro host. A NVD atribui pontuação 9,8 (CVSS 3.1), enquanto a CNA Rapid7 atribui 7,7. O registro indica versões abaixo de 1.0.4 como afetadas, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
Uma vulnerabilidade crítica de injeção de comando do sistema operacional (CWE-78) afeta a ação ping do Rapid7 InsightConnect Ping Plugin quando executado em Linux. Segundo o registro, o parâmetro host não é validado de forma suficiente na montagem de comandos de shell, o que pode permitir que um atacante remoto execute comandos arbitrários no sistema operacional.
Impacto
- A NVD classifica o problema com pontuação 9,8 no CVSS 3.1 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade, sem exigir privilégios nem interação do usuário.
- A Rapid7, atuando como CNA, atribui 7,7 no CVSS 3.1.
- Uma exploração bem-sucedida executaria comandos com os privilégios do contexto de execução do plugin, o que o registro não especifica (desconhecido).
Produtos e versões afetados
- Rapid7 InsightConnect Ping Plugin em Linux, versões abaixo de 1.0.4.
- O registro não traz entrada explícita de versão corrigida. A versão 1.0.4 aparenta ser a primeira não afetada, com base no limite superior da faixa afetada. Confirme na página do extensão no fornecedor.
Status de exploração
O registro não lista este CVE no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas. Dados de EPSS e SSVC não estão disponíveis no registro.
Correção e mitigação
- Inventarie as implantações do Ping Plugin e identifique as instâncias em Linux.
- Atualize para a versão 1.0.4 ou superior, verificando a versão alvo na página do fornecedor.
- Até a atualização, limite quais usuários e fluxos automatizados podem acionar a ação ping e restrinja o acesso de rede aos hosts que a executam.
- Revise fluxos que repassam valores de origem externa ao campo host.
Orientações de detecção
- Analise os logs do plugin em busca de valores incomuns de host ou processos filhos inesperados gerados pelo runtime do plugin.
- Monitore hosts de automação que executam o plugin em busca de conexões de saída inesperadas ou novos processos.
Limitações das informações disponíveis
O registro não oferece texto de aviso do fornecedor além da página do produto, nem entrada de versão corrigida, valores de EPSS ou SSVC, nem detalhes sobre configurações padrão. Os caminhos de código vulneráveis exatos e assinaturas confiáveis em logs são desconhecidos.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O registro não a lista no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas. A pontuação crítica ainda justifica atenção rápida.
Quais versões são afetadas?
O registro indica as versões do Rapid7 InsightConnect Ping Plugin abaixo de 1.0.4 como afetadas quando executadas em Linux.
O que os administradores devem fazer?
Identifique as instâncias do plugin em Linux, atualize para 1.0.4 ou superior após conferir a página do fornecedor e, enquanto isso, restrinja quem e o que pode acessar a ação ping.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.