Contournement de la validation d'URL Spinnaker clouddriver et orca via des soulignés dans les noms d'hôtes

Un attaquant peut exploiter cette vulnérabilité en fournissant une URL malformée à Spinnaker, contenant des caractères soulignés qui ne sont pas correctement gérés par l'objet Java URL. Cette manipulation permet de contourner les mécanismes de validation prévus et d'injecter du code malveillant. L'exécution de ce code peut permettre à l'attaquant de prendre le contrôle du système sur lequel Spinnaker est en cours d'exécution, d'accéder à des données sensibles, de modifier des configurations et de se déplacer latéralement au sein du réseau. La vulnérabilité affecte à la fois la gestion des artefacts et le traitement des expressions fromUrl dans Orca, augmentant ainsi la surface d'attaque.

Organizations heavily reliant on Spinnaker for continuous delivery pipelines are at significant risk. Specifically, those using older versions of Spinnaker (≤main-99) and those with custom fromUrl expressions in Orca are particularly vulnerable. Shared hosting environments utilizing Spinnaker also face increased risk due to potential cross-tenant exploitation.

• linux / server:

journalctl -u spinnaker-clouddriver -g 'URL validation' | grep -i underscore

• generic web:

curl -I <spinnaker_url>/artifacts/ | grep 'Content-Type:'

• generic web:

 grep -i 'underscore' /var/log/nginx/access.log

1. 2026-03-16Disclosure

   disclosure

1. Réservé2026-02-02
2. Publiée2026-03-16
3. Modifiée2026-04-02
4. EPSS mis à jour2026-03-25

La mitigation principale consiste à mettre à jour Spinnaker vers une version corrigée (2025.2.4 ou ultérieure). Si la mise à jour n'est pas immédiatement possible, il est recommandé d'examiner attentivement les URL fournies par les utilisateurs et de les valider rigoureusement avant de les utiliser dans Spinnaker. Bien qu'il n'existe pas de règles WAF spécifiques pour cette vulnérabilité, une analyse approfondie du trafic réseau peut aider à identifier les tentatives d'exploitation. Il est également conseillé de surveiller les journaux d'accès et d'erreurs de Spinnaker pour détecter toute activité suspecte. Après la mise à jour, vérifiez la correction en testant l'URL malformée et en confirmant qu'elle est correctement bloquée.