Python-kdcproxy: ssrf não autenticado via SRV DNS controlado por realm

Um atacante pode explorar esta vulnerabilidade enviando requisições para um domínio que não possui endereços de servidor configurados no kdcproxy. Por padrão, o kdcproxy tentará consultar registros SRV no DNS correspondente ao domínio solicitado. Se o atacante controlar o DNS, ele pode criar registros SRV que apontem para endereços internos ou até mesmo para o próprio atacante. Isso permite a varredura de portas em sistemas internos, a identificação de firewalls e a possível exfiltração de dados, dependendo dos serviços expostos. A vulnerabilidade é particularmente preocupante em ambientes onde o kdcproxy é usado para autenticação e autorização, pois pode permitir o acesso não autorizado a recursos críticos.

Organizations deploying kdcproxy in environments with exposed internal services or where DNS records are not tightly controlled are at increased risk. Shared hosting environments where multiple users share DNS infrastructure are particularly vulnerable, as an attacker could potentially manipulate SRV records to affect other tenants.

• linux / server: Monitor kdcproxy logs for unusual DNS queries, particularly those involving SRV records. Use journalctl -u kdcproxy to filter for DNS-related entries.

journalctl -u kdcproxy | grep 'DNS SRV record'

• generic web: Use curl to test for SSRF by attempting to access internal services through kdcproxy.

curl http://<kdcproxy_ip>/realm/internal_service

• generic web: Examine access logs for requests to unusual or unexpected internal endpoints.

1. 2025-11-12Disclosure

   disclosure

1. Reservado2025-09-08
2. Publicada2025-11-12
3. Modificada2025-12-19
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2025-59088 é atualizar o kdcproxy para a versão 1.1.0 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, configure explicitamente os endereços de servidor no arquivo de configuração do kdcproxy para cada domínio que ele precisa acessar. Isso impede que o kdcproxy consulte registros SRV em zonas DNS não confiáveis. Como medida adicional, implemente regras de firewall para restringir o acesso à porta do kdcproxy apenas a fontes confiáveis. Monitore os logs do kdcproxy em busca de requisições suspeitas para domínios desconhecidos ou não autorizados. Após a atualização, confirme a correção verificando os logs e realizando testes de varredura de portas.