Octo STS SSRF non authentifié en abusant des champs dans les jetons OpenID Connect dans github.com/octo-sts/app

L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de contourner les mécanismes de sécurité et d'effectuer des requêtes vers des ressources internes qui ne devraient pas être accessibles depuis l'extérieur. Cela peut conduire à la divulgation d'informations sensibles, à la modification de données ou même à la prise de contrôle de systèmes internes. L'attaquant peut potentiellement interagir avec d'autres services internes, élargissant ainsi la surface d'attaque et le potentiel de dommages. Bien que l'exploitation ne nécessite pas d'authentification, la complexité de la manipulation des jetons OpenID Connect pourrait limiter l'accès à des attaquants ayant une bonne connaissance des protocoles d'authentification.

Organizations that rely on Octo STS for OpenID Connect token validation, particularly those with internal services accessible via HTTP or HTTPS, are at risk. This includes applications that integrate with identity providers and use Octo STS to verify user authentication. Environments with limited network segmentation or inadequate WAF protection are especially vulnerable.

• go: Inspect application code for instances where Octo STS is used to validate OpenID Connect tokens. Look for code that directly uses the token's claims to construct outbound URLs without proper validation. • generic web: Monitor outbound network traffic from the application for requests to unexpected or internal IP addresses. Use tools like tcpdump or network intrusion detection systems (NIDS) to identify suspicious patterns. • linux / server: Examine application logs for errors related to token validation or unexpected outbound requests. Use journalctl to filter for relevant log entries.

journalctl -u your_app_service -f | grep "Octo STS" | grep "URL"

1. 2025-07-28Disclosure

   disclosure

1. Réservé2025-06-17
2. Publiée2025-07-28
3. Modifiée2026-02-04
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour github.com/octo-sts/app vers la version 0.5.3 ou ultérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de mettre en place des mesures de protection temporaires. Il est recommandé de restreindre l'accès aux ressources internes et de mettre en œuvre une validation stricte des données reçues dans les jetons OpenID Connect. L'utilisation d'un proxy inverse avec des règles de filtrage peut également aider à bloquer les requêtes malveillantes. Il n'existe pas de signature Sigma ou YARA spécifique à cette vulnérabilité, mais une surveillance attentive des requêtes sortantes est conseillée.