Omisión de validación de URL en Spinnaker clouddriver y orca a través de guiones bajos en nombres de host

Esta vulnerabilidad permite a un atacante inyectar URLs maliciosas en el sistema Spinnaker Clouddriver, lo que podría resultar en la ejecución de código arbitrario en el servidor. El atacante podría comprometer la confidencialidad, integridad y disponibilidad de los datos almacenados y procesados por Spinnaker. La capacidad de eludir la validación de URL abre la puerta a ataques como redirecciones no deseadas, robo de credenciales y, potencialmente, la ejecución remota de código. Esta vulnerabilidad es particularmente preocupante porque se basa en una falla en la lógica de validación de URLs, un componente crítico para la seguridad de cualquier aplicación web.

Organizations heavily reliant on Spinnaker for continuous delivery pipelines are at significant risk. Specifically, those using older versions of Spinnaker (≤main-99) and those with custom fromUrl expressions in Orca are particularly vulnerable. Shared hosting environments utilizing Spinnaker also face increased risk due to potential cross-tenant exploitation.

• linux / server:

journalctl -u spinnaker-clouddriver -g 'URL validation' | grep -i underscore

• generic web:

curl -I <spinnaker_url>/artifacts/ | grep 'Content-Type:'

• generic web:

 grep -i 'underscore' /var/log/nginx/access.log

1. 2026-03-16Disclosure

   disclosure

1. Reservado2026-02-02
2. Publicada2026-03-16
3. Modificada2026-04-02
4. EPSS actualizado2026-03-25

La mitigación principal para CVE-2026-25534 es actualizar Spinnaker Clouddriver a la versión 2025.2.4, 2025.3.1, 2025.4.1 o 2026.0.0. Si la actualización causa problemas de compatibilidad, se recomienda evaluar la posibilidad de un rollback a una versión anterior segura, si está disponible. Como medida temporal, se puede implementar un Web Application Firewall (WAF) o un proxy inverso para filtrar las URLs entrantes y bloquear aquellas que contengan caracteres sospechosos, como guiones bajos. Además, se recomienda revisar y fortalecer las políticas de validación de URLs en toda la infraestructura de Spinnaker.