Octo STS 認証されていないSSRF (SSRF) が OpenID Connect トークン内のフィールドを悪用することで github.com/octo-sts/app で発生

このSSRF脆弱性を悪用されると、攻撃者はgithub.com/octo-sts/appサーバーを介して内部ネットワーク上のリソースに不正にアクセスする可能性があります。例えば、機密情報を含む内部APIへのアクセス、データベースへのアクセス、または他の内部システムへの攻撃の足がかりとして利用される可能性があります。攻撃者は、内部ネットワークの他のサーバーをスキャンしたり、機密情報を盗み出したりする可能性があります。この脆弱性の影響範囲は、内部ネットワークの構成とgithub.com/octo-sts/appがアクセスできるリソースに依存します。

Organizations that rely on Octo STS for OpenID Connect token validation, particularly those with internal services accessible via HTTP or HTTPS, are at risk. This includes applications that integrate with identity providers and use Octo STS to verify user authentication. Environments with limited network segmentation or inadequate WAF protection are especially vulnerable.

• go: Inspect application code for instances where Octo STS is used to validate OpenID Connect tokens. Look for code that directly uses the token's claims to construct outbound URLs without proper validation. • generic web: Monitor outbound network traffic from the application for requests to unexpected or internal IP addresses. Use tools like tcpdump or network intrusion detection systems (NIDS) to identify suspicious patterns. • linux / server: Examine application logs for errors related to token validation or unexpected outbound requests. Use journalctl to filter for relevant log entries.

journalctl -u your_app_service -f | grep "Octo STS" | grep "URL"

1. 2025-07-28Disclosure

   disclosure

1. 予約済み2025-06-17
2. 公開日2025-07-28
3. 更新日2026-02-04
4. EPSS 更新日2026-03-23

この脆弱性への最善の対応は、github.com/octo-sts/appをバージョン0.5.3以降にアップデートすることです。アップデートがすぐに実行できない場合は、OpenID Connectトークン内のフィールドの検証を強化し、許可されていないリクエストをブロックするWAF（Web Application Firewall）ルールを実装することを検討してください。また、github.com/octo-sts/appがアクセスできる内部リソースを最小限に抑えることで、攻撃の影響範囲を制限できます。アップデート後、github.com/octo-sts/appのログを監視し、不正なリクエストがないか確認してください。