Vulnérabilité de l'endpoint proxy de cBioPortal

L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de forcer le serveur cBioPortal à effectuer des requêtes vers des ressources internes ou externes auxquelles il n'aurait normalement pas accès. Cela peut conduire à la divulgation d'informations sensibles, à l'accès non autorisé à des systèmes internes, ou même à l'exécution de code arbitraire si le serveur peut interagir avec d'autres services vulnérables. Dans les instances privées, les utilisateurs authentifiés pourraient également exploiter cette faille. Le risque est amplifié si cBioPortal est utilisé pour stocker ou traiter des données de santé protégées, car une fuite de données pourrait avoir des conséquences graves.

Organizations running publicly accessible cBioPortal instances, particularly those with sensitive data stored on internal networks, are at significant risk. Environments where cBioPortal is integrated with other internal systems are also vulnerable, as an attacker could potentially leverage the SSRF to gain access to those systems.

• java / server: Monitor access logs for requests to the /proxy endpoint originating from unexpected sources.

grep '/proxy' /var/log/nginx/access.log | grep -v "your_trusted_ip_range"

• generic web: Use curl to attempt to access internal resources through the /proxy endpoint. A successful request indicates the vulnerability is present.

curl -v http://cbioportal_server/proxy/http://internal_resource

1. 2024-07-23Disclosure

   disclosure

1. Réservé2024-07-18
2. Publiée2024-07-23
3. Modifiée2024-08-02
4. EPSS mis à jour2026-04-02

La solution recommandée est de mettre à jour cBioPortal vers la version 6.0.12 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, une atténuation possible consiste à désactiver complètement le point de terminaison /proxy via un reverse proxy comme Nginx. Cela empêchera les requêtes SSRF d'être initiées via ce point de terminaison. Il est également recommandé de limiter l'accès au point de terminaison /proxy aux seuls utilisateurs authentifiés et de mettre en œuvre des contrôles d'accès stricts pour minimiser l'impact potentiel d'une exploitation réussie. Après la mise à jour, vérifiez que le point de terminaison /proxy est correctement désactivé ou restreint.