Centrifugo: SSRF via claims JWT não verificadas interpoladas em URL de endpoint JWKS dinâmico

A exploração bem-sucedida da vulnerabilidade SSRF em Centrifugo v6 permite que um atacante force o servidor a fazer requisições HTTP para qualquer URL especificado pelo atacante. Isso pode levar à exposição de informações confidenciais acessíveis a partir do servidor Centrifugo, como chaves de API, segredos de banco de dados ou dados de outros serviços internos. Além disso, um atacante pode usar essa falha para realizar ataques de varredura de rede interna, explorar outras vulnerabilidades em sistemas internos ou até mesmo comprometer completamente o servidor Centrifugo. A falta de autenticação necessária para explorar a vulnerabilidade aumenta significativamente o seu impacto potencial.

Organizations utilizing Centrifugo v6 for real-time messaging, particularly those with dynamic JWKS endpoint configurations or those exposing Centrifugo to untrusted networks, are at significant risk. Shared hosting environments where Centrifugo instances are deployed alongside other applications are also vulnerable.

• linux / server:

journalctl -u centrifugo | grep -i "request to" && journalctl -u centrifugo | grep -i "jwks"

• generic web:

curl -I <centrifugo_endpoint>/connect | grep -i "Location:"

• generic web: Inspect Centrifugo configuration files for dynamic JWKS endpoint URLs using template variables (e.g., {{tenant}}).

1. 2026-03-13Disclosure

   disclosure

1. Reservado2026-03-11
2. Publicada2026-03-13
3. Modificada2026-03-27
4. EPSS atualizado2026-03-23

A mitigação primária para CVE-2026-32301 é atualizar o Centrifugo para a versão 6.7.0 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias, como restringir o acesso à API de JWKS, validar e sanitizar rigorosamente todas as entradas de usuário que são usadas na construção da URL de busca de JWKS e implementar um Web Application Firewall (WAF) para bloquear requisições maliciosas. Monitore os logs do Centrifugo em busca de requisições suspeitas e implemente regras de firewall para restringir o acesso de rede à API de JWKS. Após a atualização, confirme a correção verificando se a URL de busca de JWKS não está mais sujeita à interpolação de variáveis não validadas.