CVE-2025-61916

Spinnaker açık kaynaklı, çoklu bulut destekli bir sürekli teslimat platformudur. 2025.1.6, 2025.2.3 ve 2025.3.0 öncesindeki sürümler sunucu taraflı istek sahteciliği (SSRF) zafiyetine sahiptir. Temel etki, kullanıcıların uzak bir URL'den veri çekmesine izin vermesidir. Bu veriler daha sonra helm veya diğer yöntemler aracılığıyla spinnaker hatlarına (pipelines) enjekte edilerek idmsv1 kimlik doğrulama verileri gibi bilgilerin çıkarılması için kullanılabilir. Bu durum ayrıca get ve benzeri uç noktalar üzerinden dahili spinnaker API'lerinin çağrılmasını da içerir. Ayrıca, söz konusu artefakta bağlı olarak, kimlik doğrulama verileri rastgele uç noktalara (örneğin GitHub kimlik doğrulama üstbilgileri) sızdırılarak kimlik bilgilerinin açığa çıkmasına neden olabilir. Bunu tetiklemek için bir spinnaker kurulumunda iki şey OLMALIDIR. Birincisi, kullanıcı girişine izin veren etkinleştirilmiş bir artefaktır. Buna GitHub dosya artefaktları, BitBucket, GitLab, HTTP artefaktları ve benzeri artefakt sağlayıcılar dahildir. Sadece http artefakt sağlayıcısının etkinleştirilmesi, bağlantı yerel verilerini (örneğin AWS Metadata bilgileri) çıkarmak için kullanılabilecek bir "no-auth" http sağlayıcısı ekleyecektir. İkincisi ise bu artefaktların çıktısını tüketebilen bir sistemdir; örneğin Rosco helm bunu değer verilerini çekmek için kullanabilir. Eğer API JSON döndürürse, K8s hesap manifestoları bu veriyi hattın kendisine enjekte etmek için kullanılabilir ancak hat hata verecektir. Bu zafiyet 2025.1.6, 2025.2.3 ve 2025.3.0 sürümlerinde düzeltilmiştir. Geçici bir çözüm olarak, belirli bir URL'nin kullanıcı tarafından girilmesine izin veren HTTP hesap türlerini devre dışı bırakın. Bu çoğu durumda muhtemelen uygulanabilir değildir. Açık URL yapılandırmalarına sahip olan Git, Docker ve diğer artefakt hesap türleri bu sınırlamayı aşar ve artefakt URL yüklemesini kısıtladıkları için güvenli olmalıdır. Alternatif olarak, hatların geçersiz URL'lere erişmesini veya bu şekilde kaydedilmesini kısıtlamak için OPA politikaları sağlayan çeşitli satıcılardan birini kullanın.