Vulnerabilidade no Endpoint Proxy do cBioPortal

Um atacante pode explorar esta vulnerabilidade para realizar requisições a recursos internos que normalmente não seriam acessíveis externamente. Isso pode incluir a leitura de arquivos confidenciais, a interação com outros serviços internos ou até mesmo a execução de comandos em sistemas vulneráveis, dependendo da configuração do cBioPortal e dos serviços que ele interage. Em cenários de instâncias privadas, usuários autenticados podem ser capazes de explorar a vulnerabilidade para acessar dados e recursos que não deveriam ter acesso. O potencial de dano é significativo, especialmente em ambientes onde o cBioPortal é usado para armazenar e processar dados sensíveis de pacientes.

Organizations running publicly accessible cBioPortal instances, particularly those with sensitive data stored on internal networks, are at significant risk. Environments where cBioPortal is integrated with other internal systems are also vulnerable, as an attacker could potentially leverage the SSRF to gain access to those systems.

• java / server: Monitor access logs for requests to the /proxy endpoint originating from unexpected sources.

grep '/proxy' /var/log/nginx/access.log | grep -v "your_trusted_ip_range"

• generic web: Use curl to attempt to access internal resources through the /proxy endpoint. A successful request indicates the vulnerability is present.

curl -v http://cbioportal_server/proxy/http://internal_resource

1. 2024-07-23Disclosure

   disclosure

1. Reservado2024-07-18
2. Publicada2024-07-23
3. Modificada2024-08-02
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o cBioPortal para a versão 6.0.12 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, uma alternativa é desabilitar o endpoint /proxy completamente. Isso pode ser feito através de um servidor proxy reverso como o Nginx, configurando-o para bloquear o acesso a este endpoint. Monitore logs de acesso e erro em busca de requisições suspeitas direcionadas ao endpoint /proxy. Após a atualização, confirme a correção verificando se o endpoint /proxy não permite mais requisições arbitrárias.