CVE-2026-5724: Autenticação Falha em go.temporal.io/server

A exploração bem-sucedida desta vulnerabilidade permite a um atacante com acesso de rede à porta do frontend do go.temporal.io/server, contornar a autenticação e acessar o endpoint de replicação de fluxo. Embora a exfiltração de dados seja o principal impacto, ela só é possível quando uma replicação configurada estiver ativa. O atacante pode potencialmente obter informações sensíveis sobre os fluxos de trabalho em replicação, dependendo da configuração e dos dados transmitidos. A ausência de autenticação neste endpoint representa um risco significativo, especialmente em ambientes onde a confidencialidade dos dados do fluxo de trabalho é crítica. A vulnerabilidade reside na falta de aplicação consistente das políticas de autorização em todos os endpoints gRPC.

Organizations utilizing go.temporal.io/server for workflow orchestration, particularly those with exposed frontend ports and replication configured, are at risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as an attacker could potentially exploit this vulnerability to gain access to other users' workflows.

• go / server:

ps aux | grep 'temporal server' | grep 'AdminService/StreamWorkflowReplicationMessages'

• generic web:

curl -I <temporal_server_ip>:7233/AdminService/StreamWorkflowReplicationMessages

• generic web:

grep -r 'AdminService/StreamWorkflowReplicationMessages' /etc/temporal/temporal.yaml

1. 2026-04-10Disclosure

   disclosure

1. Reservado2026-04-06
2. Publicada2026-04-10
3. Modificada2026-04-13
4. EPSS atualizado2026-04-18

A mitigação primária para esta vulnerabilidade é atualizar o go.temporal.io/server para a versão 1.28.4 ou superior, que inclui a correção. Se a atualização imediata não for possível, implemente regras de firewall para restringir o acesso à porta do frontend do servidor, permitindo apenas conexões de fontes confiáveis. Considere também a implementação de um sistema de detecção de intrusão (IDS) para monitorar o tráfego de rede em busca de tentativas de acesso não autorizado ao endpoint de replicação. Após a atualização, confirme a correção verificando os logs do servidor para garantir que as solicitações ao endpoint de replicação agora exijam autenticação.