CVE-2026-61500: Anthropic Mythos recuperou a chave de sessão do Rejetto HFS e alcançou RCE

O pesquisador da Horizon3, Zach Hanley, usou o modelo de IA Mythos da Anthropic para descobrir CVE-2026-61500 no Rejetto HTTP File Server (HFS) 3.x. A vulnerabilidade permite que um atacante não autenticado forje um cookie de sessão de administrador e alcance execução remota de código (RCE) sem saber a senha do administrador.

Quando COOKIE_SIGN_KEYS não está configurado explicitamente, o HFS gera uma chave de assinatura de cookie de sessão usando randomId(30), que depende de Math.random(). No ambiente Node.js/V8 examinado, o gerador usa xorshift128+, um gerador de números pseudoaleatórios previsível e inadequado para segredos criptográficos. Uma segunda falha existe no manipulador de autenticação loginSrp1, que armazena uma saída de Math.random() em ctx.session.loggingIn. Como o cookie de sessão contém dados assinados, mas não criptografados, um cliente não autenticado pode recuperar a saída do PRNG vazada.

O ataque demonstrado começa confirmando que a conta admin embutida existe usando um oráculo de enumeração de usuários, outro problema identificado pelo Mythos. O atacante então inicia 12 solicitações de login não autenticadas e extrai as saídas vazadas de Math.random() dos cookies retornados. Usando o solucionador Z3 SMT, o Mythos reconstrói o estado interno de xorshift128+ e reverte suas transições de estado para recuperar a chave de assinatura gerada quando o HFS foi iniciado. O atacante pode então forjar um cookie de sessão válido contendo username: "admin". Uma vez autenticado como administrador, o atacante abusa da funcionalidade server_code embutida do HFS, que permite execução de JavaScript no lado do servidor, para executar código arbitrário no servidor.

A cadeia demonstrada requer uma instalação do HFS usando uma chave de assinatura de sessão gerada automaticamente, em vez de um valor COOKIE_SIGN_KEYS configurado explicitamente. O endpoint de autenticação deve estar acessível, e a conta de administrador alvo deve existir. A vulnerabilidade afeta o Rejetto HFS 3.0.0 até 3.2.0 e foi corrigida na versão 3.2.1.

Qual foi o papel do agente de IA? O Mythos conectou independentemente duas fraquezas: a geração de uma chave de assinatura sensível usando um PRNG previsível e a divulgação das saídas desse gerador por meio de um caminho de código de autenticação separado. O modelo desenvolveu as restrições Z3, reconstruiu o estado do gerador, recuperou a chave de assinatura e produziu um exploit funcional demonstrando falsificação de sessão administrativa e execução de comandos. De acordo com a Horizon3, os pesquisadores não precisaram fornecer prompts adicionais direcionando o Mythos a encontrar o vazamento do PRNG ou investigar métodos matemáticos para recuperar o estado do gerador.

Artigo: https://horizon3.ai/attack-research/disclosures/anthropic-mythos-rejetto-hfs-rce/