Bypass de validação de URL no Spinnaker clouddriver e orca via underscores em nomes de host

Um atacante pode explorar essa vulnerabilidade para injetar URLs maliciosas no Spinnaker Clouddriver Artifacts, contornando as validações implementadas para mitigar o CVE-2025-61916. Isso pode levar à execução de código arbitrário no sistema, roubo de dados confidenciais ou comprometimento da infraestrutura. A falha reside na forma como o Java URL object processa underscores, permitindo a criação de URLs que escapam da validação pretendida. A vulnerabilidade afeta tanto o componente Artifacts quanto o Orca, ampliando o potencial de impacto. A exploração bem-sucedida pode resultar em acesso não autorizado a recursos e dados críticos.

Organizations heavily reliant on Spinnaker for continuous delivery pipelines are at significant risk. Specifically, those using older versions of Spinnaker (≤main-99) and those with custom fromUrl expressions in Orca are particularly vulnerable. Shared hosting environments utilizing Spinnaker also face increased risk due to potential cross-tenant exploitation.

• linux / server:

journalctl -u spinnaker-clouddriver -g 'URL validation' | grep -i underscore

• generic web:

curl -I <spinnaker_url>/artifacts/ | grep 'Content-Type:'

• generic web:

 grep -i 'underscore' /var/log/nginx/access.log

1. 2026-03-16Disclosure

   disclosure

1. Reservado2026-02-02
2. Publicada2026-03-16
3. Modificada2026-04-02
4. EPSS atualizado2026-03-25

A mitigação primária é a atualização para uma versão corrigida do Spinnaker Clouddriver Artifacts: 2025.2.4, 2025.3.1, 2025.4.1 ou 2026.0.0. Se a atualização imediata não for possível, considere implementar regras de firewall (WAF) ou proxy para bloquear URLs suspeitas contendo underscores em posições críticas. Monitore logs de acesso e erros em busca de padrões incomuns de URLs. Implemente validação de entrada mais rigorosa em todos os pontos de entrada de URL no Spinnaker. Após a atualização, confirme a correção verificando os logs do sistema e realizando testes de penetração para garantir que a validação de URL esteja funcionando corretamente.