CVE-2026-55177

CloudTAK, TAK ilə uyğun olan brauzer əsaslı Orta Əməliyyat Şəkli və vəziyyətə nəzarət alətidir. Versiya 13.10.0-dan əvvəl, ESRI köməkçi ailəsindəki (api/routes/esri.ts) hər bir marşrut sorğudan tamamilə hücumçunun nəzarətində olan URL-i götürür (POST /api/esri gövdəsindəki url və GET /api/esri/* marşrutlarında portal / server / layer sorğu parametrləri) və onu api/lib/esri.ts faylında @tak-ps/etl kitabxanasının sadə fetch funksiyası ilə çağırılan EsriBase / EsriProxyPortal / EsriProxyServer / EsriProxyLayer hissələrinə ötürür. Heç bir mərhələdə IP / DNS / host adı təsnifatı tətbiq edilmir, buna görə də təyinat nöqtəsi şəxsi, loopback və ya link-local diapazonlarına qarşı heç vaxt yoxlanılmır. Buna görə də, istənilən autentifikasiya olunmuş istifadəçi (marşrutlar yalnız Auth.is_auth(config, req, { anyResources: true }), yəni hər hansı bir token tələb edir, administrator olmaq şərt deyil), CloudTAK serverinin bulud instansiyasının metadata xidməti (169.254.169.254), loopback admin portları (127.0.0.1:<port>) və yalnız tətbiqin VPC daxilindən əlçatan olan digər hostlar kimi daxili ünvanlara ixtiyari çıxan GET/POST sorğuları göndərməsini təmin edə bilər. Bu, kor olmayan, tam oxuma imkanı verən SSRF zəifliyidir: uğurlu olduqda, yuxarı axındakı JSON gövdəsi res.json(...) vasitəsilə çağıran tərəfə qaytarılır, uğursuz olduqda isə yuxarı axın xəta sətiri olduğu kimi "ESRI Server Error: <message>" şəklində əks olunur. Hücumçu bulud metadatasını (və instansiya rolunun təqdim etdiyi müvəqqəti IAM etibarnamələrini) oxuya, daxili xidmətləri sadalaya və onların cavab gövdələrini sızdıra bilər. sniff() URL təsnifatı heç bir qoruma təmin etmir: o, yalnız yol adını (/rest, /arcgis/rest, /sharing/rest) şablonla yoxlayır, beləliklə, http://169.254.169.254/arcgis/rest və ya http://127.0.0.1:8500/rest kimi URL-lər sniff() yoxlamasından keçir və çağırılır. Bu problem versiya 13.10.0-da aradan qaldırılmışdır.