Vulnerabilidade Crítica no Open Build Service Permitia Execução Remota de Código

Pesquisadores da Fenrisk revelaram uma vulnerabilidade crítica, CVE-2026-56004, no Open Build Service (OBS), especificamente no backend Mercurial do obs_scm. A falha permitia a Execução Remota de Código (RCE) através de injeção de argumentos. Um invasor manipulava o campo '_service revision' para inserir um 'pre-update hook', executando comandos arbitrários no servidor OBS.

A exploração exigia que o ambiente utilizasse Mercurial, com um repositório HTTP(S) acessível e a conclusão de um clone bem-sucedido. O detalhe técnico crucial residia em como um espaço na payload maliciosa fazia com que a biblioteca 'argparse' a tratasse como um valor normal, e não como uma opção, permitindo que a injeção '--config=hooks.pre-update=<shell command>' fosse processada diretamente pelo Mercurial. A openSUSE agiu rapidamente, corrigindo o problema em 2 de julho, adicionando um prefixo '--' antes da revisão e aconselhando a rejeição de revisões prefixadas com '-'.

Esta nova falha, CVE-2026-56004, representa uma evolução preocupante e um retorno ao mesmo ponto de ataque no Open Build Service. Um pouco mais de um ano após a descoberta da CVE-2024-22033, publicada em março de 2025, os pesquisadores da Fenrisk encontraram uma falha distinta, mas da mesma família de vulnerabilidades. Enquanto a primeira estava no serviço 'download_url', esta nova reside no serviço 'obs_scm', com um binário diferente e um método de bypass distinto, mas a raiz do problema, a injeção de dados controlados pelo usuário em uma linha de comando como opções, permanece a mesma. O que era um vetor de ataque foi agora revisitado com sucesso, mostrando a persistência de certas classes de vulnerabilidade.

A importância da CVE-2026-56004 no Open Build Service é gigante. O OBS é a plataforma central de empacotamento da openSUSE, usada por projetos como VLC, Dell e Intel para criar pacotes para diversas distribuições. Uma RCE aqui não é um bug web comum, é uma ameaça direta à cadeia de suprimentos de software. Um atacante que compromete a infraestrutura de build pode acessar segredos de assinatura de pacotes, injetando pacotes maliciosos para milhões de usuários. Isso significa que um único pacote envenenado pode se propagar para todas as máquinas que o instalam ou atualizam, com consequências catastróficas.