Octo STS SSRF não autenticado explorando campos em tokens OpenID Connect em github.com/octo-sts/app

Um atacante pode explorar essa vulnerabilidade SSRF para realizar requisições não autorizadas para recursos internos da rede, que normalmente não seriam acessíveis externamente. Isso pode incluir o acesso a APIs internas, serviços de banco de dados ou outros sistemas que contêm informações confidenciais. O impacto pode variar dependendo da configuração do sistema e dos recursos internos acessíveis, mas pode levar à exposição de dados sensíveis, execução de código arbitrário ou até mesmo ao comprometimento completo do sistema. A exploração bem-sucedida pode permitir que um atacante obtenha informações sobre a infraestrutura interna, realize ataques de escalonamento de privilégios ou lance ataques contra outros sistemas na rede.

Organizations that rely on Octo STS for OpenID Connect token validation, particularly those with internal services accessible via HTTP or HTTPS, are at risk. This includes applications that integrate with identity providers and use Octo STS to verify user authentication. Environments with limited network segmentation or inadequate WAF protection are especially vulnerable.

• go: Inspect application code for instances where Octo STS is used to validate OpenID Connect tokens. Look for code that directly uses the token's claims to construct outbound URLs without proper validation. • generic web: Monitor outbound network traffic from the application for requests to unexpected or internal IP addresses. Use tools like tcpdump or network intrusion detection systems (NIDS) to identify suspicious patterns. • linux / server: Examine application logs for errors related to token validation or unexpected outbound requests. Use journalctl to filter for relevant log entries.

journalctl -u your_app_service -f | grep "Octo STS" | grep "URL"

1. 2025-07-28Disclosure

   disclosure

1. Reservado2025-06-17
2. Publicada2025-07-28
3. Modificada2026-02-04
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2025-52477 é atualizar o github.com/octo-sts/app para a versão 0.5.3 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de mitigação, como restringir o acesso à rede, implementar firewalls de aplicativos web (WAF) para bloquear requisições maliciosas e monitorar logs de acesso para detectar atividades suspeitas. Além disso, revise e reforce as políticas de segurança para garantir que as requisições de rede sejam devidamente validadas e autorizadas.