„`html
Zusammenfassung
stoatchat in Versionen vor 0.13.5 weist eine kritische Server-Side Request Forgery (SSRF) Schwachstelle auf. Die anfälligen Endpunkte /proxy und /embed validieren eingehende URLs nicht ausreichend, wodurch Angreifer interne Dienste erreichen und auf sensitive Infrastruktur zugreifen können. Die Schwachstelle erfordert keine Authentifizierung.
Betroffene Systeme
Produkt: stoatchat
Versionen: Alle Versionen vor 0.13.5
Plattformen: Alle unterstützten Plattformen
Technische Details
Die Endpunkte /proxy und /embed akzeptieren beliebige URLs ohne Validierung. Fehlende Sicherheitsmechanismen ermöglichen:
- DNS-Rebinding: Umgehung von Hostnamen-Validierung
- Private IP-Range Zugriff: Keine Filterung von RFC1918-Adressen (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16)
- Metadata-Endpoints: Zugriff auf Cloud-Instanz-Metadaten (AWS, Azure, GCP)
- Redirect-Ketten: Bypass durch HTTP-Weiterleitungen zu internen Ressourcen
Ein Angreifer kann über diese Endpunkte auf interne Datenbankserver, Admin-Interfaces oder Konfigurationsdateien zugreifen, was zu Datenlecks oder Remote Code Execution führt.
Empfohlene Massnahmen
- Sofort: Betroffene stoatchat-Instanzen isolieren oder Netzwerkzugriff auf /proxy und /embed-Endpunkte blockieren
- WAF-Regeln: Requests mit internen IP-Adressen filtern
- Update: Upgrade auf stoatchat 0.13.5 oder höher durchführen, sobald verfügbar
- Monitoring: Logs auf verdächtige URL-Anfragen an proxy/embed-Endpunkten prüfen
- Netzwerk-Segmentierung: Interne Services hinter egress-Firewall-Regeln schützen
Bewertung
CVSS-Score: 8.6 (High)
Angriffsvektor: Netzwerk (unauthentifiziert)
Komplexität: Gering
Priorität: KRITISCH – Unmittelbare Behebung erforderlich
„`