Centrifugo: SSRF via unverified JWT claims interpolated into dynamic JWKS endpoint URL

Un attaquant peut exploiter cette vulnérabilité SSRF pour effectuer des requêtes HTTP sortantes via le serveur Centrifugo. Cela peut permettre d'accéder à des ressources internes qui ne sont pas directement accessibles depuis l'extérieur, de contourner des contrôles d'accès et potentiellement d'interagir avec d'autres systèmes internes. L'attaquant pourrait, par exemple, interroger des API internes, extraire des informations sensibles ou même lancer des attaques contre d'autres services internes. La nature non authentifiée de l'exploitation rend cette vulnérabilité particulièrement préoccupante, car elle peut être exploitée sans nécessiter d'informations d'identification.

Organizations utilizing Centrifugo v6 for real-time messaging, particularly those with dynamic JWKS endpoint configurations or those exposing Centrifugo to untrusted networks, are at significant risk. Shared hosting environments where Centrifugo instances are deployed alongside other applications are also vulnerable.

• linux / server:

journalctl -u centrifugo | grep -i "request to" && journalctl -u centrifugo | grep -i "jwks"

• generic web:

curl -I <centrifugo_endpoint>/connect | grep -i "Location:"

• generic web: Inspect Centrifugo configuration files for dynamic JWKS endpoint URLs using template variables (e.g., {{tenant}}).

1. 2026-03-13Disclosure

   disclosure

1. Réservé2026-03-11
2. Publiée2026-03-13
3. Modifiée2026-03-27
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Centrifugo vers la version 6.7.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution de contournement temporaire consiste à désactiver l'utilisation de variables de modèle dans l'URL de l'endpoint JWKS. Cela peut être fait en configurant l'URL de l'endpoint JWKS avec une valeur statique. Il est également recommandé de surveiller les journaux d'accès pour détecter des requêtes HTTP sortantes inhabituelles, ce qui pourrait indiquer une tentative d'exploitation. Après la mise à jour, vérifiez la configuration de Centrifugo pour vous assurer que l'URL de l'endpoint JWKS est correctement configurée et ne contient pas de variables de modèle.