CVE-2026-45796

Nome do Software Vulnerável e Versões Afetadas Coder versões anteriores a 2.33.3 Coder versões anteriores a 2.32.2 Coder versões anteriores a 2.31.12 Coder versões anteriores a 2.30.8 Coder versões anteriores a 2.29.13 Coder versões anteriores a 2.24.5

Description Um Server-Side Request Forgery (SSRF) semi-cego não autenticado existe no endpoint POST /api/v2/workspaceagents/azure-instance-identity. Um invasor pode forçar o servidor a emitir requisições HTTP GET para hosts internos ou externos arbitrários ao enviar uma assinatura PKCS#7 manipulada. Durante a verificação da cadeia de certificados, a função azureidentity.Validate() itera sobre a extensão IssuingCertificateURL e busca a URL sem restrições de host, bloqueio de IP privado ou limites de tamanho de resposta.

Embora o servidor não retorne o corpo da resposta do alvo, as mensagens de erro na resposta da API revelam se o alvo está acessível e qual tipo de falha ocorreu, permitindo o reconhecimento da rede interna e o mapeamento de hosts e portas. Além disso, o servidor pode ser direcionado a acessar endpoints sensíveis, como serviços de metadados de nuvem. O uso de io.ReadAll sem limites no corpo da resposta também cria um vetor de exaustão de memória.

Recommendations Atualize para a versão 2.33.3 ou posterior. Atualize para a versão 2.32.2 ou posterior. Atualize para a versão 2.31.12 ou posterior. Atualize para a versão 2.30.8 ou posterior. Atualize para a versão 2.29.13 ou posterior. Atualize para a versão 2.24.5 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint /api/v2/workspaceagents/azure-instance-identity usando firewall de ingresso ou ACLs de proxy, caso o mecanismo de autenticação de identidade do Azure não esteja sendo utilizado.