Spinnaker clouddriver en orca URL validatie omzeiling via underscores in hostnamen

Deze kwetsbaarheid stelt een aanvaller in staat om de URL validatie te omzeilen en potentieel ongeautoriseerde toegang te verkrijgen tot systemen die Spinnaker Clouddriver gebruiken. Door zorgvuldig geconstrueerde URL's met underscores te gebruiken, kan de aanvaller de bestaande beveiligingsmaatregelen omzeilen. Dit kan leiden tot het uitvoeren van schadelijke code, het wijzigen van configuratiebestanden of het stelen van gevoelige gegevens. De impact is vergelijkbaar met eerdere URL validatie kwetsbaarheden, waarbij het mogelijk is om de applicatie te misbruiken voor kwaadaardige doeleinden. De kwetsbaarheid treft zowel de artifacts als de Orca fromUrl expression handling.

Organizations heavily reliant on Spinnaker for continuous delivery pipelines are at significant risk. Specifically, those using older versions of Spinnaker (≤main-99) and those with custom fromUrl expressions in Orca are particularly vulnerable. Shared hosting environments utilizing Spinnaker also face increased risk due to potential cross-tenant exploitation.

• linux / server:

journalctl -u spinnaker-clouddriver -g 'URL validation' | grep -i underscore

• generic web:

curl -I <spinnaker_url>/artifacts/ | grep 'Content-Type:'

• generic web:

 grep -i 'underscore' /var/log/nginx/access.log

1. 2026-03-16Disclosure

   disclosure

1. Gereserveerd2026-02-02
2. Gepubliceerd2026-03-16
3. Gewijzigd2026-04-02
4. EPSS bijgewerkt2026-03-25

De primaire mitigatie is het upgraden van Spinnaker Clouddriver artifacts naar een versie die de patch bevat: 2025.2.4, 2025.3.1, 2025.4.1 of 2026.0.0. Als een directe upgrade niet mogelijk is, overweeg dan het implementeren van een Web Application Firewall (WAF) of proxy om URL's te filteren en te valideren voordat ze de applicatie bereiken. Configureer de WAF om URL's met onverwachte underscores te blokkeren. Controleer de configuratie van Orca en pas de fromUrl expression handling aan om de kwetsbaarheid te verhelpen. Na de upgrade, controleer de logs op verdachte URL's en probeer de validatie te omzeilen om te bevestigen dat de patch effectief is.