Arcane SSRF não autenticado com Reflexão Condicional de Resposta no Endpoint de Busca de Template

A vulnerabilidade CVE-2026-40242 no Arcane, uma ferramenta para gerenciar contêineres Docker, imagens, redes e volumes, introduz uma vulnerabilidade de Server-Side Request Forgery (SSRF) não autenticada. Antes da versão 1.17.3, o endpoint /api/templates/fetch aceita um parâmetro de URL fornecido pelo chamador e realiza uma solicitação HTTP GET no servidor sem autenticação e sem validação do esquema de URL ou do host. A resposta do servidor é retornada diretamente ao chamador. Isso permite que um atacante, sem credenciais, force o servidor Arcane a fazer solicitações a recursos internos ou externos, potencialmente expondo informações confidenciais ou interagindo com outros sistemas.

Organizations utilizing Arcane for Docker container management, particularly those with publicly accessible Arcane instances or those running Arcane within environments with sensitive internal resources, are at significant risk. Shared hosting environments where Arcane is deployed alongside other applications are also vulnerable.

• linux / server:

journalctl -u arcane | grep '/api/templates/fetch'

• generic web:

curl -I <arcane_instance_url>/api/templates/fetch?url=<internal_resource>

• generic web:

 grep -i '/api/templates/fetch' /var/log/apache2/access.log

1. 2026-04-10Disclosure

   disclosure

2. 2026-04-10Patch

   patch

1. Reservado2026-04-10
2. Publicada2026-04-10
3. Modificada2026-04-13
4. EPSS atualizado2026-04-18

A solução para mitigar esta vulnerabilidade é atualizar o Arcane para a versão 1.17.3 ou superior. Esta versão corrige o problema implementando validações adequadas na URL fornecida pelo usuário, evitando que o servidor faça solicitações não autorizadas. Além disso, revise as configurações de rede e segurança para garantir que o Arcane esteja isolado de recursos sensíveis. Monitorar os logs do Arcane em busca de atividades suspeitas também é recomendado. Se a atualização imediata não for possível, a implantação de um Firewall de Aplicações Web (WAF) que filtre as solicitações de entrada e bloqueie aquelas que tentam explorar esta vulnerabilidade pode servir como uma medida temporária.