Manager-io/Manager: Time-of-Check Time-of-Use (TOCTOU) के माध्यम से SSRF सुरक्षा का पूर्ण बाईपास

यह SSRF भेद्यता Manager-io Manager उपयोगकर्ताओं के लिए एक गंभीर खतरा है। हमलावर DNS सत्यापन तंत्र में TOCTOU स्थिति का फायदा उठाकर आंतरिक सेवाओं तक पहुँच सकते हैं। डेस्कटॉप संस्करण के लिए किसी प्रमाणीकरण की आवश्यकता नहीं है, जबकि सर्वर संस्करण के लिए केवल मानक प्रमाणीकरण की आवश्यकता होती है। हमलावर आंतरिक डेटा तक पहुँच सकते हैं, संवेदनशील जानकारी चुरा सकते हैं, या आंतरिक प्रणालियों पर नियंत्रण प्राप्त कर सकते हैं। इस भेद्यता का उपयोग आंतरिक नेटवर्क पर आगे बढ़ने और अन्य प्रणालियों को लक्षित करने के लिए भी किया जा सकता है। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि यह आसानी से शोषण योग्य है और इसके लिए किसी विशेष कौशल या संसाधनों की आवश्यकता नहीं होती है।

Organizations using Manager-io Manager, particularly those with sensitive financial data, are at risk. Shared hosting environments where multiple users share the same Manager-io instance are especially vulnerable, as an attacker could potentially exploit the SSRF to access data belonging to other users. Legacy configurations that haven't been updated to the latest version are also at increased risk.

• linux / server: Monitor journalctl for unusual outbound requests originating from the Manager-io process. Use ss -tulnp | grep manager to identify connections to internal services.

journalctl -u manager -f | grep -i 'internal_service'

• generic web: Examine access and error logs for requests to internal network resources. Use curl -v <internal_resource> to test access from the Manager-io server.

curl -v http://169.254.169.254/latest/meta-data/  # Example: Cloud metadata endpoint

1. 2025-11-07Disclosure

   disclosure

1. आरक्षित2025-10-28
2. प्रकाशित2025-11-07
3. संशोधित2026-01-07
4. EPSS अद्यतन2026-03-23

CVE-2025-64180 को कम करने के लिए, Manager-io Manager को तुरंत संस्करण 25.11.1.3086 में अपडेट करना आवश्यक है। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके आंतरिक संसाधनों तक पहुँच को सीमित कर सकते हैं। DNS सत्यापन तंत्र को मजबूत करने के लिए कॉन्फ़िगरेशन परिवर्तन भी किए जा सकते हैं, लेकिन यह एक जटिल प्रक्रिया हो सकती है और इसे सावधानी से किया जाना चाहिए। किसी भी अपडेट या कॉन्फ़िगरेशन परिवर्तन के बाद, यह सत्यापित करना महत्वपूर्ण है कि भेद्यता को सफलतापूर्वक कम कर दिया गया है।