CVE-2026-73432

Vulnerability-Lookup proqramının uzaq instansiya sinxronizasiyası funksionallığında server tərəfli sorğu saxtakarlığı (SSRF) zəifliyi mövcuddur. Uzaq instansiya ünvanları yaddaşa yazılmazdan əvvəl yalnız əsas URL sintaksisi üçün yoxlanılırdı, sinxronizasiya işçisi isə daha sonra bu ünvanlara avtomatik yönləndirmə idarəetməsi ilə və şəbəkə sərhəd məhdudiyyətlərini tətbiq etmədən requests.get() vasitəsilə müraciət edirdi. admin:access icazəsinə malik autentifikasiya olunmuş administrator, ünvanı daxili, loopback, link-local və ya bulud metadata HTTP(S) xidmətinə yönəlmiş uzaq instansiyanı konfiqurasiya edə bilərdi. Sinxronizasiya həyata keçirilərkən Vulnerability-Lookup serveri sorğunu öz şəbəkə kontekstindən göndərirdi. Hücumçu həmçinin daxili təyinat nöqtəsinə yönləndirən açıq URL-dən də istifadə edə bilərdi, çünki yönləndirmələr təyinat nöqtəsi yenidən yoxlanılmadan izlənilirdi. Uğurlu istismar imtiyazlı hücumçuya Vulnerability-Lookup serverindən əlçatan olan, lakin hücumçu tərəfindən birbaşa əlçatmaz olan xidmətləri, o cümlədən şəxsi şəbəkə xidmətlərini və ya bulud instansiyasının metadata son nöqtələrini araşdırmağa və ya onlarla qarşılıqlı əlaqə qurmağa imkan verə bilərdi. Məxfilik, bütövlük və ya əlçatanlığa dəqiq təsiri tətbiq serverindən əlçatan olan xidmətlərdən asılıdır. Yamaq, uzaq instansiyaları HTTP(S) ilə məhdudlaşdıran, qeyri-ictimai IP ünvanlarını rədd edən, host adlarını sorğu zamanı həll edən və hər bir yönləndirmə təyinatını izləməzdən əvvəl əllə yoxlayan ortaq çıxan URL siyasətini tətbiq edir. Tətbiq konkret olaraq şəxsi, loopback, link-local, multicast, rezerv edilmiş və qeyd edilməmiş ünvanları bloklayır.