Cyber ·
CVE-2026-119641: Apache Oozie permite alterar workflow e propriedade de outro tenant
Advisory publicado em 2 de novembro de 2026 no feed oss-sec: um usuário autenticado do Apache Oozie pode reconfigurar o workflow de outro tenant e alterar sua propriedade. Gravidade moderada, todas as versões afetadas, projeto descontinuado e sem correção planejada.
O aviso CVE-2026-119641 descreve uma falha de validação inadequada de entrada no Apache Oozie, sistema de orquestração de workflows. Segundo o texto traduzido automaticamente do feed oss-sec, publicado por Arnout Engelen em 2 de novembro de 2026, um usuário já autenticado pode reconfigurar o workflow pertencente a outro tenant e alterar a propriedade desse workflow. A gravidade é classificada como moderada e o aviso indica que todas as versões do Apache Oozie são afetadas.
Ponto relevante para operadores: o projeto foi descontinuado, por isso os mantenedores informam que não planejam lançar versão com correção. O aviso recomenda que os usuários encontrem uma alternativa, sem detalhar qual. A análise completa deve ser feita na fonte original, que traz o texto integral e eventuais atualizações.
O caso é de controle de acesso entre tenants em software de workflow, não de modelos de IA. Quem ainda executa Oozie deve avaliar isolamento de tenants, permissões de criação e alteração de workflows e registros de propriedade, e planejar migração.