Cyber ·
CVE-2026-94140: Rex aceita chave SSH de host desconhecida em rsync remoto
Aviso publicado na lista oss-sec em 21 de outubro de 2026 descreve que o Rex, até a versão 1.16.1, desativa a verificação estrita de chave SSH em transferências rsync remotas. O Rota Nacional não corrige ferramentas de terceiros; a ação cabe a quem usa o Rex.
O aviso CVE-2026-94140, publicado na lista oss-sec em 21 de outubro de 2026 com atribuição ao CPAN Security Group, trata do Rex, uma ferramenta de automação escrita em Perl. Segundo o texto, até a versão 1.16.1 o Rex desativa a verificação estrita de chave SSH em transferências rsync remotas. Isso significa que a conexão pode aceitar a chave de um host desconhecido sem a checagem que confirmaria a identidade do servidor, o que reduz a proteção contra um servidor falso. A fonte indica como distribuição afetada o Rex e como versões afetadas as até 1.16.1. Os endereços do pacote e do repositório constam na fonte original e não são repetidos aqui.
Relevância para o Rota Nacional: a plataforma não corrige nem substitui o Rex, e este aviso não descreve nenhum recurso do Rota. Se a sua organização usa o Rex para automação de transferências, a ação indicada é verificar a versão instalada e avaliar a atualização conforme as orientações do mantenedor. A fonte resumida não informa a versão corrigida, então confira o repositório oficial e o registro de pacotes antes de decidir.
Se a equipe usar um modelo de IA para estudar este aviso, cole somente o trecho técnico público. Não inclua nomes de hosts internos, chaves, senhas, tokens ou dados pessoais. A plataforma detecta dados pessoais antes da inferência e aplica a política da organização, mas isso não substitui a verificação do próprio ambiente.
Fonte original: CVE-2026-94140: Rex aceita chave SSH de host desconhecida em transferências rsync