Open Build Service: Execução de Comandos no Servidor de Build via Mercurial

Pesquisadores descobriram uma vulnerabilidade CVE-2026-56004 no Open Build Service (OBS), a plataforma openSUSE para compilar pacotes de software. A falha afeta o processamento de parâmetros no serviço obs_scm, que recupera código-fonte de um repositório e o prepara para compilação. A vulnerabilidade está relacionada à injeção de argumentos de linha de comando e recebeu CVSS 10.0.

A exploração exige que o atacante consiga modificar o arquivo _service, que controla o processamento do código-fonte, e que o Mercurial esteja disponível no servidor. O parâmetro revision é fornecido com uma string especialmente criada que, devido à ausência do separador --, é interpretada não como um identificador de revisão, mas como um argumento de linha de comando para hg. O parâmetro --config pode ser usado para definir um manipulador pre-update que executa um comando shell arbitrário ao atualizar o repositório. Pesquisadores confirmaram a vulnerabilidade na instância oficial do OBS, e os desenvolvedores lançaram uma correção.

Ao obter execução de comandos no servidor de build, um atacante poderia afetar a infraestrutura de preparação de pacotes, tentar acessar segredos armazenados no servidor e interferir no processo de compilação de software. No cenário mais perigoso, o comprometimento da infraestrutura poderia levar à adulteração de pacotes legítimos e à distribuição de código malicioso para usuários que os instalam de fontes confiáveis.

Artigo: https://fenrisk.com/research/open-build-service-2/