Alerta Crítico: Descoberta Cadeia de Exploit RCE que Afeta OpenBao e Vault

Pesquisadores da ControlPlane revelaram uma complexa cadeia de quatro vulnerabilidades que permite a execução remota de código (RCE) não autenticada no OpenBao e no Vault. Este ataque explora falhas críticas, começando com o forjamento de certificados SPIFFE. Isso ocorre por meio de um bypass de ACME URI SAN, permitindo que o atacante obtenha certificados com SANs (Subject Alternative Names) não validados.

Em seguida, o atacante se autentica como um usuário privilegiado e manipula funções administrativas. Ele se aproveita da falta de diferenciação de maiúsculas/minúsculas em caminhos ACL (Access Control List), acessando, por exemplo, 'AdMiN' em vez de 'admin'. Finalmente, o invasor realiza uma travessia de namespaces para restaurar um snapshot Raft malicioso, culminando na execução de binários pré-existentes. O ataque funciona mesmo em ambientes restritos, pois a RCE independe do diretório de plugins e é incondicional contra qualquer binário do sistema.

Esta é a segunda vulnerabilidade de execução remota de código (RCE) na história do Vault e do OpenBao, e ela é significativamente pior que a descoberta no ano passado. A RCE atual é incondicional, explorando binários existentes sem depender do diretório de plugins ou da adivinhação de sufixos em logs de auditoria. Isso a torna mais eficaz em ambientes onde as imagens de contêiner são somente leitura ou em configurações sem plugins.

Um ponto crítico que mudou é a postura da IBM (proprietária do HashiCorp Vault) em relação à OpenBao. Após a aquisição da HashiCorp, em setembro de 2025, houve uma tentativa de estabelecer uma política de divulgação mútua de vulnerabilidades. No entanto, a IBM se recusou a discutir um acordo em maio de 2026. Essa falta de cooperação fez com que usuários do Vault Community Edition ficassem desprotegidos no momento do lançamento das correções, sem mitigações disponíveis, diferentemente do OpenBao que pode coordenar as atualizações.

A descoberta desta cadeia de RCE é um alerta crítico para organizações que utilizam OpenBao e Vault para gerenciar segredos e identidades. A execução remota de código não autenticada significa que um atacante pode obter controle total sobre os sistemas afetados, comprometendo dados sensíveis e a integridade da infraestrutura. A complexidade do ataque, que encadeia múltiplas falhas, demonstra a sofisticação das ameaças atuais e a necessidade de defesas em camadas.

A recusa da IBM em colaborar com o OpenBao na divulgação coordenada de vulnerabilidades cria um risco adicional para os usuários do Vault Community Edition. Isso força essas organizações a uma corrida contra o tempo, muitas vezes sem conhecimento prévio das correções. A situação ressalta a importância de manter sistemas atualizados e de ter planos robustos de resposta a incidentes para proteger ativos críticos contra ataques cada vez mais avançados, muitos deles com assistência de IA, como visto na descoberta quase total das vulnerabilidades desta cadeia por IA.