CVE-2026-96658: Foreman: contorno do safemode levando a RCE
A CVE-2026-96658 afeta o Foreman e o Red Hat Satellite. O registro descreve um usuário autenticado com permissões de leitura de baixo nível que pode contornar o sandbox safemode do mecanismo de renderização de templates e executar comandos no host. A Red Hat atribui pontuação 8.8 (alta) e o registro a classifica como CWE-94 (injeção de código), mas não há exploração confirmada nas fontes consultadas e a falha não consta no CISA KEV.
Visão geral
A CVE-2026-96658 é uma falha no Foreman descrita como contorno do safemode no mecanismo de renderização de templates. Segundo o registro, um invasor remoto autenticado com permissões de leitura de baixo nível pode manipular a lista de métodos permitidos e escapar do isolamento do sandbox para executar comandos não autorizados no host. A fraqueza é classificada como CWE-94 (injeção de código). O registro também lista o Red Hat Satellite entre os produtos afetados.
Impacto
O registro descreve execução arbitrária de código no servidor subjacente. A pontuação base CVSS da Red Hat é 8.8, com alto impacto em confidencialidade, integridade e disponibilidade. O GitHub Security Advisory lista 9.9 entre as pontuações agregadas. Os dados SSVC do registro indicam impacto técnico total, exploração marcada como none e automatizável marcado como no.
Produtos e versões afetadas
- Theforeman Foreman: o registro lista versões anteriores a 2.0.1, 3.19.0, 3.19.1 e 5.0.0.
- Red Hat Satellite: faixas de 6.16 até antes de 6.16.4, de 6.17 até antes de 6.17.12, de 6.18 até antes de 6.18.10 e de 6.19 até antes de 6.19.5.
- Algumas entradas do Red Hat Satellite são listadas para compilações específicas voltadas ao RHEL, sem detalhes de versão.
O registro não descreve quais versões entre os pontos listados são afetadas.
Status de exploração
O registro indica que esta CVE não consta no catálogo CISA KEV. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00685, com percentil 0.52069 em 2026-10-23.
Correção e mitigação
- Aplique os errata do Red Hat Satellite listados nas referências: RHSA-2026:74503, RHSA-2026:74504, RHSA-2026:74505 e RHSA-2026:74506. Veja a página CVE da Red Hat.
- Para o Foreman, revise o patch referenciado na lista oss-security e atualize para uma versão fora das faixas afetadas.
- Restrinja quais contas possuem permissões de leitura na aplicação, seguindo o princípio do menor privilégio, pois o atacante descrito precisa de uma conta autenticada de baixo privilégio.
- Consulte os avisos do fornecedor para identificar a compilação corrigida exata da sua linha de produto.
Orientação para detecção
- Revise logs de aplicação e de auditoria em busca de ações relacionadas a templates executadas por contas de baixo privilégio incomuns para sua função.
- Monitore hosts Foreman ou Satellite quanto a processos filhos inesperados iniciados pelo serviço web.
- Acompanhe alterações na configuração de métodos permitidos e no conteúdo dos templates.
Limitações das informações disponíveis
O registro não informa uma versão corrigida explícita para o Foreman, embora as faixas listadas indiquem onde o problema termina. Os limites corrigidos da Red Hat são inferidos a partir dos limites superiores das faixas, não declarados diretamente. Não há detalhes de exploração além da descrição e nenhuma prova de conceito é citada no registro.
Perguntas frequentes
A CVE-2026-96658 está sendo explorada ativamente?
O registro não a lista no CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas. Dada a alta severidade, ela deve ser tratada como prioridade de correção.
Quais produtos são afetados?
O registro lista o Foreman com versões anteriores a 2.0.1, 3.19.0, 3.19.1 e 5.0.0. Também lista o Red Hat Satellite nas faixas de 6.16 até antes de 6.16.4, de 6.17 até antes de 6.17.12, de 6.18 até antes de 6.18.10 e de 6.19 até antes de 6.19.5.
Que acesso o atacante precisa ter?
Segundo o registro, o atacante deve estar autenticado e possuir permissões de leitura de baixo nível.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.