Spinnaker clouddriver 和 orca URL 验证绕过，通过主机名中的下划线

该漏洞允许攻击者通过精心构造的URL绕过Spinnaker的URL验证逻辑，从而可能导致未经授权的访问和潜在的系统损害。攻击者可以利用此漏洞访问敏感数据，执行恶意代码，或进行横向移动。由于Spinnaker广泛应用于持续交付和部署流程中，该漏洞的潜在影响范围非常广泛，可能影响到多个应用程序和基础设施组件。类似于CVE-2025-61916，该漏洞的利用方式依赖于URL构造，需要攻击者对URL编码和Spinnaker的URL解析逻辑有深入的了解。

Organizations heavily reliant on Spinnaker for continuous delivery pipelines are at significant risk. Specifically, those using older versions of Spinnaker (≤main-99) and those with custom fromUrl expressions in Orca are particularly vulnerable. Shared hosting environments utilizing Spinnaker also face increased risk due to potential cross-tenant exploitation.

• linux / server:

journalctl -u spinnaker-clouddriver -g 'URL validation' | grep -i underscore

• generic web:

curl -I <spinnaker_url>/artifacts/ | grep 'Content-Type:'

• generic web:

 grep -i 'underscore' /var/log/nginx/access.log

1. 2026-03-16Disclosure

   disclosure

1. 已保留2026-02-02
2. 发布日期2026-03-16
3. 修改日期2026-04-02
4. EPSS 更新日期2026-03-25

最有效的缓解措施是立即升级到受影响版本中已修复漏洞的版本：2025.2.4、2025.3.1、2025.4.1或2026.0.0。如果无法立即升级，可以考虑以下临时缓解措施：在反向代理或WAF中实施严格的URL过滤规则，阻止包含可疑字符（例如下划线）的URL。此外，审查并加强Spinnaker的URL验证逻辑，确保其能够正确处理各种URL编码方式。升级后，请验证URL验证逻辑是否正常工作，并检查系统日志中是否存在异常活动。