SiYuan getroffen door Zero-Click NTLM Hash Diefstal en Blind SSRF via Mermaid Diagram Rendering

Een succesvolle exploitatie van deze SSRF-kwetsbaarheid stelt een aanvaller in staat om interne bronnen te benaderen die normaal gesproken niet toegankelijk zijn vanaf het internet. In het bijzonder, op Windows-systemen, kan het gebruik van protocol-relatieve URL's (zoals //attacker.com/image.png) leiden tot de interpretatie van de URL als een UNC-pad (\\attacker.com\image.png). Dit triggert automatisch SMB-authenticatie, waarbij de NTLMv2 hash van het slachtoffer naar de aanvaller wordt verzonden. Dit kan worden gebruikt voor verdere authenticatie-aanvallen of om toegang te krijgen tot gevoelige gegevens op het interne netwerk. De impact is vergelijkbaar met scenario's waarbij interne services worden blootgesteld via een onjuist geconfigureerde webapplicatie.

Users of SiYuan who rely on Mermaid diagrams for note-taking and visualization are at risk. Environments with shared hosting or legacy Windows systems with weak SMB configurations are particularly vulnerable, as the automatic NTLMv2 hash transmission poses a significant threat.

• windows / supply-chain: Monitor PowerShell execution for suspicious URLs or SMB connections initiated by the SiYuan process. Use Windows Defender to search for alerts related to network connections to unusual domains or UNC paths.

Get-Process -Name SiYuan | Select-Object -ExpandProperty CommandLine | Select-String -Pattern '\\attacker.com'

• linux / server: Examine SiYuan's process logs for any unexpected outbound network connections. Use journalctl to filter for errors or warnings related to Mermaid.js or URL fetching.

journalctl -u siyuan -g 'error' -g 'warning'

• generic web: Monitor access logs for requests originating from the SiYuan client to unusual or attacker-controlled domains. Check response headers for unexpected content or redirects. Use curl to test for endpoint exposure.

curl -I https://attacker.com/image.png

1. 2026-04-10Disclosure

   disclosure

1. Gereserveerd2026-04-09
2. Gepubliceerd2026-04-10
3. EPSS bijgewerkt2026-04-17

De primaire mitigatie is het upgraden van de SiYuan kernel naar versie 0.0.0-20260407035653-2f416e5253f1 of hoger. Als een directe upgrade niet mogelijk is, kan het tijdelijk beperken van de functionaliteit van Mermaid.js door de securityLevel en htmlLabels opties aan te passen een tijdelijke workaround bieden. Controleer de SiYuan-configuratie op onjuiste instellingen die het risico op SSRF vergroten. Monitor de netwerkverkeer van de SiYuan-applicatie op ongebruikelijke verzoeken naar externe of interne bronnen. Implementeer een Web Application Firewall (WAF) om verzoeken met protocol-relatieve URL's te blokkeren.