Centrifugo: SSRF via unverified JWT claims interpolated into dynamic JWKS endpoint URL

该SSRF漏洞的影响非常严重，攻击者可以利用它来访问内部服务，读取敏感数据，甚至执行任意代码。攻击者可以利用该漏洞扫描内部网络，发现其他潜在的漏洞。如果Centrifugo服务器配置不当，攻击者可能能够访问数据库、API或其他敏感资源。此外，攻击者还可以利用该漏洞发起进一步的攻击，例如横向移动到其他系统或进行数据泄露。由于该漏洞无需身份验证，攻击者可以轻松地利用它，造成广泛的影响。

Organizations utilizing Centrifugo v6 for real-time messaging, particularly those with dynamic JWKS endpoint configurations or those exposing Centrifugo to untrusted networks, are at significant risk. Shared hosting environments where Centrifugo instances are deployed alongside other applications are also vulnerable.

• linux / server:

journalctl -u centrifugo | grep -i "request to" && journalctl -u centrifugo | grep -i "jwks"

• generic web:

curl -I <centrifugo_endpoint>/connect | grep -i "Location:"

• generic web: Inspect Centrifugo configuration files for dynamic JWKS endpoint URLs using template variables (e.g., {{tenant}}).

1. 2026-03-13Disclosure

   disclosure

1. 已保留2026-03-11
2. 发布日期2026-03-13
3. 修改日期2026-03-27
4. EPSS 更新日期2026-03-23

缓解此漏洞的首要措施是立即升级到Centrifugo 6.7.0或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，禁用动态JWKS端点URL中的模板变量，确保JWT验证过程中的URL是固定的。其次，实施严格的网络访问控制策略，限制Centrifugo服务器的出站流量，只允许访问必要的外部资源。最后，监控Centrifugo服务器的日志，查找任何异常的出站请求，并及时采取措施。