CVE-2025-61916

Nome do Software Vulnerável e Versões Afetadas Versões do Spinnaker anteriores a 2025.1.6 Versões do Spinnaker anteriores a 2025.2.3 Versões do Spinnaker anteriores a 2025.3.0

Descrição O Spinnaker, uma plataforma de entrega contínua multicloud de código aberto, é suscetível a falsificação de solicitação do lado do servidor. Isso permite aos usuários buscar dados de uma URL remota, potencialmente injetando-os em pipelines do Spinnaker via ferramentas como o Helm. Isso pode levar à exposição de dados sensíveis, incluindo informações de autenticação (como dados de autenticação idmsv1 e cabeçalhos de autenticação do GitHub) e acesso a APIs internas do Spinnaker via solicitações GET. O problema requer uma instalação do Spinnaker com um artefato habilitado que aceita entrada do usuário, como artefatos de arquivo do GitHub, BitBucket, GitLab ou artefatos HTTP. Um sistema capaz de consumir a saída desses artefatos também é necessário. A vulnerabilidade é acionada quando um artefato busca dados de uma URL e esses dados são então utilizados dentro do pipeline.

Recomendações Versões anteriores a 2025.1.6 devem ser atualizadas para a versão 2025.1.6 ou posterior. Versões anteriores a 2025.2.3 devem ser atualizadas para a versão 2025.2.3 ou posterior. Versões anteriores a 2025.3.0 devem ser atualizadas para a versão 2025.3.0 ou posterior. Desative tipos de conta HTTP que permitem a inserção de uma URL específica pelo usuário. Utilize políticas do Open Policy Agent (OPA) para restringir que pipelines acessem ou salvem pipelines com URLs inválidas.