CVE-2026-96659: Foreman: permissões excessivas do papel Viewer na pré-visualização de templates
A CVE-2026-96659 é uma falha crítica no Foreman, com pontuação CVSS 9.1 atribuída pelo CNA, na qual um usuário com permissões Viewer de baixo nível pode acessar endpoints de pré-visualização de templates e obter informações sensíveis, como senhas de root dos hosts. O registro indica que, em casos com as proteções Safemode desativadas, a falha também pode permitir a execução de comandos arbitrários como a conta de sistema do Foreman. Não há exploração confirmada nas fontes consultadas.
Visão geral
Segundo o registro, uma falha no Foreman permite que um usuário autenticado com permissões Viewer envie requisições aos endpoints de pré-visualização de templates e obtenha informações que esse papel não deveria expor. O CNA classifica a falha como crítica, com pontuação CVSS 9.1.
Impacto
- Divulgação não autorizada de informações, que, segundo o registro, pode incluir dados sensíveis como senhas de root dos hosts.
- Onde as proteções Safemode estão desativadas, o registro indica que a falha pode permitir a execução de comandos arbitrários como a conta de sistema do Foreman.
- O vetor CVSS indica alcance pela rede, baixos privilégios exigidos, nenhuma interação do usuário, mudança de escopo e alto impacto na confidencialidade.
Produtos e versões afetadas
- Theforeman Foreman: de 1.9.0 até 3.19.1 inclusive, e a versão 5.0.0, conforme listado no registro.
- Red Hat Satellite: o registro lista os intervalos de 6.16 antes de 6.16.4, de 6.17 antes de 6.17.12, de 6.18 antes de 6.18.10 e de 6.19 antes de 6.19.5.
- Diversas entradas de produto Red Hat Satellite para diferentes versões do RHEL aparecem sem versões especificadas.
Status de exploração
- O catálogo KEV da CISA não lista este CVE no registro.
- Não há exploração confirmada nas fontes consultadas.
- O registro SSVC indica exploração como none e automatizável como no.
- A probabilidade EPSS é 0,00324, com percentil de 0,24239.
Correção e mitigação
- Aplique os errata da Red Hat Satellite citados no registro, como o RHSA-2026:74506, e os avisos relacionados listados.
- Para o Foreman, o registro aponta um patch upstream publicado na lista oss-security, mas não informa uma versão corrigida específica.
- Revise quais contas possuem o papel Viewer e restrinja o acesso às funções de pré-visualização de templates até que os patches sejam aplicados.
- Confirme que as proteções Safemode estão habilitadas, pois o registro associa o risco de execução de comandos à ausência delas.
Orientações de detecção
- Analise logs web e de aplicação em busca de requisições incomuns aos endpoints de pré-visualização de templates vindas de contas com poucos privilégios.
- Monitore atividades inesperadas associadas à conta de serviço do Foreman.
- Audite atribuições recentes de papéis e alterações de permissões que afetem o papel Viewer.
Limitações das informações disponíveis
- O registro não fornece uma versão corrigida do Foreman.
- O nome da CWE não é informado; há apenas o identificador CWE-267.
- Detalhes por versão de cada entrada de produto Satellite não são especificados no registro.
- O conteúdo completo dos avisos do fabricante não foi revisado para esta análise.
Perguntas frequentes
O que a CVE-2026-96659 permite?
Segundo o registro, um usuário autenticado com permissões Viewer pode enviar requisições aos endpoints de pré-visualização de templates e acessar dados sensíveis, como senhas de root dos hosts.
Esta CVE é explorada na prática?
O catálogo KEV da CISA não a lista no registro, e não há exploração confirmada nas fontes consultadas.
O que os administradores devem fazer primeiro?
Aplicar os errata do fabricante para as versões afetadas do Red Hat Satellite, revisar as contas com o papel Viewer e confirmar que as proteções Safemode estão habilitadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.