CVE-2025-64522

SSRF w Soft Serve — webhooks bez walidacji URL umożliwiają dostęp do sieci wewnętrznej

CVSS 9.1v3.1pub. 2025-11-10upd. 2025-12-31

Soft Serve w wersjach przed 0.11.1 zawiera podatność SSRF, w której adresy URL webhooków nie są walidowane. Pozwala to administratorom repozytoriów na kierowanie żądań do wewnętrznych usług, sieci prywatnych oraz punktów końcowych metadanych środowisk chmurowych.

▸ Pokaż oryginał (EN)

Soft Serve is a self-hostable Git server for the command line. Versions prior to 0.11.1 have a SSRF vulnerability where webhook URLs are not validated, allowing repository administrators to create webhooks targeting internal services, private networks, and cloud metadata endpoints. Version 0.11.1 fixes the vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z braku walidacji adresów URL podczas tworzenia webhooków w Soft Serve (CWE-918 — Server-Side Request Forgery). Administrator repozytorium może skonfigurować webhook wskazujący na dowolny adres, w tym zasoby dostępne wyłącznie po stronie serwera. Serwer wykonuje wówczas żądanie HTTP do wskazanego adresu we własnym imieniu, co umożliwia atakującemu sondowanie infrastruktury wewnętrznej lub pobieranie wrażliwych danych, np. tokenów z punktów metadanych chmury (np. AWS IMDSv1).

Skutki

Atakujący z uprawnieniami administratora repozytorium może uzyskać dostęp do wewnętrznych usług sieciowych niedostępnych publicznie oraz odczytać poufne dane, w tym dane uwierzytelniające z punktów metadanych środowisk chmurowych. Możliwa jest również ograniczona modyfikacja stanu wewnętrznych usług przyjmujących żądania HTTP.

Mitygacja

Należy zaktualizować Soft Serve do wersji 0.11.1, która wprowadza walidację adresów URL webhooków i eliminuje podatność. Patch dostępny w repozytorium GitHub producenta (commit bb73b9a0eea0d902da4811420535842a4f9aae3b) oraz w oficjalnym wydaniu v0.11.1.