Manager-io/Manager: Volledige omzeiling van SSRF-bescherming via Time-of-Check Time-of-Use (TOCTOU)

De impact van deze SSRF-kwetsbaarheid is significant. Een succesvolle exploitatie kan leiden tot ongeautoriseerde toegang tot gevoelige interne data, zoals database credentials, API keys en andere configuratiebestanden. In de Desktop-editie is geen authenticatie vereist, waardoor de aanval relatief eenvoudig te plegen is. In de Server-editie is standaard authenticatie vereist, maar eenmaal binnen kan de aanvaller vrijwel onbeperkt interne resources benaderen. Dit kan leiden tot data-exfiltratie, configuratiewijzigingen en zelfs volledige controle over interne systemen. De mogelijkheid om cloud metadata endpoints te benaderen, kan de aanvaller toegang geven tot cloud credentials en de mogelijkheid bieden om laterale beweging binnen de cloud omgeving uit te voeren.

Organizations using Manager-io Manager, particularly those with sensitive financial data, are at risk. Shared hosting environments where multiple users share the same Manager-io instance are especially vulnerable, as an attacker could potentially exploit the SSRF to access data belonging to other users. Legacy configurations that haven't been updated to the latest version are also at increased risk.

• linux / server: Monitor journalctl for unusual outbound requests originating from the Manager-io process. Use ss -tulnp | grep manager to identify connections to internal services.

journalctl -u manager -f | grep -i 'internal_service'

• generic web: Examine access and error logs for requests to internal network resources. Use curl -v <internal_resource> to test access from the Manager-io server.

curl -v http://169.254.169.254/latest/meta-data/  # Example: Cloud metadata endpoint

1. 2025-11-07Disclosure

   disclosure

1. Gereserveerd2025-10-28
2. Gepubliceerd2025-11-07
3. Gewijzigd2026-01-07
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar versie 25.11.1.3086 of hoger. Indien een upgrade direct problemen veroorzaakt, overweeg dan een rollback naar een eerdere stabiele versie (indien beschikbaar) en plan de upgrade zo snel mogelijk. Implementeer tijdelijk een Web Application Firewall (WAF) met regels die SSRF-aanvallen detecteren en blokkeren. Beperk de toegang tot interne netwerkbronnen via firewallregels en netwerksegmentatie. Controleer de DNS-configuratie en implementeer strikte DNS-validatie om TOCTOU-aanvallen te voorkomen. Na de upgrade, verifieer de fix door te proberen interne resources te benaderen via Manager-io Manager en controleer of de toegang wordt geweigerd.