Open WebUI no Windows: chave mestra derivada do segundo da instalação

O que aconteceu e o que fazer

O post de theknell, publicado na lista de discussão oss-sec em 5 de novembro de 2026, afirma que o instalador do Open WebUI para Windows (start_windows.bat) gera WEBUI_SECRET_KEY, o segredo que assina todos os tokens de sessão, usando rand() da biblioteca C. O gerador, do tipo congruencial linear, é inicializado uma única vez com o horário atual em segundos, de modo que toda a entropia da chave seria o segundo da instalação. Segundo o texto, a partir do token de um usuário comum a chave poderia ser recuperada sem informação prévia em cerca de 2,1 segundos, dentro de uma janela de ±1 dia.

Para uma empresa que roda o Open WebUI em estações Windows, o risco é que quem obtenha um token válido derive o segredo e forje sessões de outros usuários. A resposta prática começa por inventário: identificar as instalações Windows, verificar como e quando a chave foi gerada em cada uma e substituí-la por um segredo criado com fonte criptograficamente segura, invalidando os tokens existentes. Em seguida, vale um teste controlado, em ambiente isolado, para confirmar ou descartar a alegação no seu contexto, além de um processo de implantação que gere segredos no momento do deploy e os mantenha fora do instalador e de arquivos versionados.

Como a consultoria pode ajudar

Diagnóstico da exposição das instalações do Open WebUI, incluindo inventário em Windows e revisão de como os segredos são gerados e armazenados; implementação da rotação de chaves com invalidação de sessões e de um processo de implantação com segredos gerados com segurança, operado no seu próprio ambiente.

Próximo passo

Se a sua organização usa o Open WebUI em Windows, envie uma descrição breve do seu cenário, como número de instalações e forma de implantação, e receba uma proposta de escopo com diagnóstico e plano de correção.