Red Hat va publicar el 13 d’abril de 2026 l’actualitzacio de seguretat RHSA-2026:7674 per a l’eina rhc, el client i dimoni que connecta els teus sistemes amb els serveis gestionats de Red Hat (Insights, subscripcions, gestio remota). El motiu es CVE-2026-25679, un parseig incorrecte de literals d’amfitrio IPv6 a net/url, la biblioteca estandard de Go sobre la qual esta construit rhc. Red Hat el classifica amb impacte Important.
Que falla exactament
rhc esta escrit en Go i, com tantes eines del llenguatge, fa servir net/url per descompondre les URL amb que parla amb els servidors de Red Hat. El problema es en com aquesta biblioteca interpreta una adreca IPv6 escrita com a literal entre claudators, de l’estil https://[2001:db8::1]:443/ruta. Quan l’amfitrio literal no encaixa amb el que el parser espera, la URL es descompon de manera diferent de com ho faria un client correcte. Amfitrio, port i ruta poden acabar assignats a camps equivocats.
El risc d’aquest tipus d’error no es un desbordament ni una execucio de codi directa. Es de confusio d’analitzadors: si rhc interpreta una URL d’una manera i un altre component de la cadena (un proxy, un validador, una capa que apliqui llistes de control) la interpreta d’una altra, un atacant que controli part de l’entrada pot colar peticions cap a destinacions no previstes o evadir comprovacions basades en l’amfitrio. Per aixo Red Hat ho tracta com a Important i no com una correccio menor.
A qui afecta
Als sistemes Red Hat Enterprise Linux 8 que tinguin instal·lat el paquet rhc, incloses les variants de cicle de vida estes 8.10. L’actualitzacio cobreix les arquitectures habituals: x86_64, aarch64, ppc64le i s390x. Si gestiones les teves maquines amb Red Hat Insights o tens flotes registrades via rhc, aquest paquet hi entra. Red Hat tambe ha emes avisos paral·lels per a RHEL 9 i RHEL 10 amb la mateixa arrel.
No es un zero-day ni hi ha constancia publica d’explotacio activa. Es una correccio de robustesa en una peca que toca directament la connexio dels teus sistemes amb la infraestructura de Red Hat, prou motiu per aplicar-la sense deixar-la a la cua.
Mitigacio i pedac
La via correcta es actualitzar. A RHEL 8 el paquet corregit es rhc-0.2.5-5.el8_10. Executa:
sudo dnf update rhcDespres convem reiniciar el dimoni perque la versio pedacada quedi en us:
sudo systemctl restart rhcdNo hi ha cap mitigacio alternativa raonable mes enlla del pedac: l’error viu dins del binari, aixi que no es desactiva amb configuracio. Si administres un parc gran, propaga l’actualitzacio amb la teva eina habitual (Satellite, Ansible o el mateix Insights) i confirma que la versio instal·lada es la corregida a cada node.
Font
- Avis oficial: RHSA-2026:7674
- Detall del CVE: CVE-2026-25679 a NVD