Spinnaker vulnérable à une attaque SSRF (SSRF) en raison de restrictions insuffisantes sur les requêtes http provenant des entrées utilisateur

L'impact principal de cette vulnérabilité réside dans la possibilité pour un attaquant de récupérer des données provenant d'URL distantes. Cette capacité peut être exploitée pour extraire des informations sensibles, telles que les données d'authentification IDMSv1, en les injectant dans les pipelines Spinnaker via des méthodes telles que Helm. De plus, l'attaquant peut appeler des API internes de Spinnaker via des requêtes GET et des points de terminaison similaires. Dans certaines configurations d'artefacts, les en-têtes d'authentification (par exemple, les en-têtes d'authentification GitHub) peuvent être exposés à des points de terminaison arbitraires, entraînant une fuite de données d'identification. L'exploitation réussie nécessite une installation Spinnaker avec un artefact activé qui accepte les entrées utilisateur, comme l'artefact de fichier GitHub.

Organizations utilizing Spinnaker for continuous delivery pipelines, particularly those relying on GitHub file artifacts or other artifact types that allow user input, are at risk. Environments with permissive network configurations or inadequate access controls are especially vulnerable. Shared hosting environments where multiple users share a Spinnaker instance should also be considered at higher risk.

• linux / server:

journalctl -u spinnaker -g "outbound request"

• generic web:

curl -I <spinnaker_server_ip>/artifacts/some_artifact | grep -i 'Host:'

1. 2026-01-05Disclosure

   disclosure

1. Réservé2025-10-03
2. Publiée2026-01-05
3. Modifiée2026-04-02
4. EPSS mis à jour2026-03-23

La mitigation immédiate consiste à mettre à niveau vers la version 2025.1.6 de io.spinnaker.clouddriver:clouddriver-artifacts. Si la mise à niveau n'est pas possible immédiatement, il est crucial de désactiver temporairement les artefacts qui permettent l'entrée utilisateur, en particulier ceux qui utilisent des fichiers GitHub. En attendant la mise à niveau, examinez attentivement la configuration des artefacts pour identifier et restreindre les points de terminaison auxquels Spinnaker peut accéder. Il est également recommandé de mettre en œuvre des règles WAF (Web Application Firewall) ou de proxy pour bloquer les requêtes sortantes vers des domaines non approuvés. La surveillance des journaux Spinnaker pour les requêtes suspectes peut également aider à détecter une exploitation.