Cyber ·
Open WebUI no Windows: chave mestra derivada do segundo da instalação
Publicação na lista oss-sec afirma que o instalador Windows do Open WebUI gera WEBUI_SECRET_KEY a partir do horário em segundos, tornando a chave recuperável a partir de um token comum.
Segundo o aviso, traduzido automaticamente de uma publicação do feed oss-sec em 5 de novembro de 2026, o script start_windows.bat do Open WebUI gera WEBUI_SECRET_KEY, o segredo que assina todos os tokens de sessão, usando rand() da biblioteca C. Esse gerador é congruencial linear e foi inicializado uma única vez com o horário atual em segundos, de modo que, segundo o autor, toda a entropia da chave seria o segundo da instalação. A publicação afirma que, a partir do token de um usuário comum, a chave pode ser recuperada em cerca de 2,1 segundos, em um intervalo de ±1 dia. Esses números são alegações do autor e não foram verificados aqui. Para quem usa o Open WebUI no Windows, o ponto prático é verificar se a instalação foi feita com esse script, substituir a chave por um valor gerado com fonte criptográfica, reiniciar o serviço e considerar encerrar as sessões existentes. A Rota Nacional não instala nem mantém o Open WebUI, e este aviso não descreve nenhuma falha na Rota. Consulte o aviso original e as notas de correção do projeto antes de agir.