CVE-2025-22612

Coolify: brak autoryzacji umożliwia kradzież kluczy prywatnych i RCE

CVSS 10.0v3.1pub. 2025-01-24upd. 2025-09-19

W aplikacji Coolify przed wersją 4.0.0-beta.374 zalogowany użytkownik może pobrać dowolny klucz prywatny przechowywany w instancji w postaci jawnego tekstu. W określonych okolicznościach podatność może prowadzić do wykonania dowolnych poleceń na zdalnym serwerze zarządzanym przez ofiarę.

▸ Pokaż oryginał (EN)

Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Prior to version 4.0.0-beta.374, the missing authorization allows an authenticated user to retrieve any existing private keys on a coolify instance in plain text. If the server configuration of IP / domain, port (most likely 22) and user (root) matches with the victim's server configuration, then the attacker can execute arbitrary commands on the remote server. Version 4.0.0-beta.374 fixes the issue.

🤖 Analiza AI

Jak działa

Brak weryfikacji uprawnień (missing authorization) pozwala uwierzytelnionemu użytkownikowi na odpytanie endpointów API instancji Coolify i odczyt prywatnych kluczy SSH innych użytkowników bez żadnej kontroli dostępu. Jeśli konfiguracja serwera atakującego (adres IP lub domena, port, konto użytkownika) pokrywa się z konfiguracją serwera ofiary, wykradziony klucz może zostać użyty do nawiązania połączenia SSH i wykonania dowolnych poleceń na tym serwerze.

Skutki

Atakujący może uzyskać pełny dostęp do prywatnych kluczy SSH wszystkich użytkowników instancji, a w sprzyjających warunkach wykonać dowolne polecenia (RCE) na zdalnych serwerach zarządzanych przez Coolify, co może skutkować całkowitym przejęciem infrastruktury.

Mitygacja

Należy zaktualizować Coolify do wersji 4.0.0-beta.374 lub nowszej, która zawiera poprawkę eliminującą brak autoryzacji przy odczycie kluczy prywatnych.

Kogo dotyczy

Coolify w wersjach przed 4.0.0-beta.374 (wszystkie instancje self-hosted).

Uwagi

Podatność wymaga posiadania aktywnego konta w instancji Coolify (uwierzytelniony dostęp), jednak nie wymaga żadnych uprawnień administracyjnych. Szczegóły opublikowano w security advisory repozytorium GitHub projektu (GHSA-wg8x-cgq4-vjxj).