OpenSift: Risque de SSRF dans le point d'entrée d'ingestion d'URL

Cette vulnérabilité SSRF (Server-Side Request Forgery) permet à un attaquant de manipuler OpenSift pour qu'il effectue des requêtes HTTP vers des destinations arbitraires. Cela peut conduire à la découverte ou à la manipulation de ressources sensibles situées sur le réseau interne de l'organisation, y compris des services non exposés publiquement. Un attaquant pourrait potentiellement interroger des API internes, accéder à des données confidentielles ou même tenter de compromettre d'autres systèmes en exploitant des vulnérabilités dans ces services. Le risque est accru si OpenSift est déployé dans un environnement où il a accès à des ressources critiques.

Organizations utilizing OpenSift for AI-powered data analysis, particularly those with sensitive data residing on internal networks, are at risk. Environments where OpenSift is configured to ingest URLs from untrusted sources are especially vulnerable. Shared hosting environments where OpenSift instances share the same network namespace also face increased risk.

• python / server:

# Check for suspicious outbound requests in OpenSift logs
grep -i 'https://' /var/log/opensift/access.log | grep -i 'internal.network'

• generic web:

# Check for unexpected outbound connections using netstat
netstat -tulnp | grep -i 'internal.network'

1. 2026-02-20Disclosure

   disclosure

1. Réservé2026-02-18
2. Publiée2026-02-20
3. Modifiée2026-02-25
4. EPSS mis à jour2026-03-23

La solution principale consiste à mettre à jour OpenSift vers la version 1.1.3-alpha ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution de contournement consiste à définir la variable d'environnement OPENSIFTALLOWPRIVATE_URLS=true. Cependant, cette solution doit être appliquée avec prudence, car elle peut augmenter la surface d'attaque si elle n'est pas correctement configurée. Il est recommandé de limiter l'accès à OpenSift et de surveiller attentivement les requêtes effectuées par le système. Après la mise à jour, vérifiez le bon fonctionnement de l'ingestion d'URL en effectuant des tests avec des URL de confiance.