Spinnaker は、ユーザー入力からの http 制限が不適切であるため、SSRF (Server-Side Request Forgery) に脆弱です

この脆弱性の影響は甚大です。攻撃者は、Spinnakerのアーティファクト機能（特にGitHubファイルアーティファクト）を介して、任意のURLにリクエストを送信できるようになります。これにより、認証情報（idmsv1認証データなど）が不正に取得されたり、機密情報を含むデータが外部に漏洩したりするリスクがあります。さらに、攻撃者はSpinnakerの内部APIを悪用し、システムの設定変更やデータ操作など、より深刻な被害をもたらす可能性があります。認証情報がGitHubの認証ヘッダーとして公開される可能性も考慮する必要があります。

Organizations utilizing Spinnaker for continuous delivery pipelines, particularly those relying on GitHub file artifacts or other artifact types that allow user input, are at risk. Environments with permissive network configurations or inadequate access controls are especially vulnerable. Shared hosting environments where multiple users share a Spinnaker instance should also be considered at higher risk.

• linux / server:

journalctl -u spinnaker -g "outbound request"

• generic web:

curl -I <spinnaker_server_ip>/artifacts/some_artifact | grep -i 'Host:'

1. 2026-01-05Disclosure

   disclosure

1. 予約済み2025-10-03
2. 公開日2026-01-05
3. 更新日2026-04-02
4. EPSS 更新日2026-03-23

まず、io.spinnaker.clouddriver:clouddriver-artifactsをバージョン2025.1.6にアップデートすることを強く推奨します。アップデートが困難な場合は、アーティファクト機能におけるユーザー入力の制限を検討してください。WAF（Web Application Firewall）やリバースプロキシを設定し、外部へのリクエストを制限することも有効です。また、Spinnakerのログを監視し、異常なリクエストパターンを検出するためのルールを実装することも重要です。アップデート後、アーティファクトの設定を確認し、不要なユーザー入力機能を無効化することで、脆弱性の影響を最小限に抑えることができます。