CVE-2026-24117
ŚrednieCVSS 5.3Streszczenie
Rekor w wersjach 1.4.3 i starszych pozwala na SSRF do dowolnych usług wewnętrznych, ponieważ /api/v1/index/retrieve obsługuje pobieranie klucza publicznego z adresu URL podanego przez użytkownika. SSRF może wywoływać tylko żądania GET, nie zmienia stanu, a odpowiedź nie jest zwracana, więc możliwy jest jedynie blind SSRF (sondujący sieć wewnętrzną).
Ocena ryzyka
Atakujący może sondować wewnętrzną sieć organizacji (blind SSRF), co może ujawnić informacje o infrastrukturze.
Rekomendacja
Zaktualizuj Rekor do wersji 1.5.0 lub nowszej; jako obejście wyłącz endpoint wyszukiwania opcją --enable_retrieve_api=false.
Inne podatności w Rekor
Zobacz wszystkie- CVE-2026-23831Średnie
W Rekor (log przejrzystości łańcucha dostaw oprogramowania) w wersjach 1.4.3 i starszych implementacja wpisu może spowodować panikę przy przetwarzaniu danych kontrolowanych przez atakującego, gdy kanonizowany jest proponowany wpis z pustym polem spec.message. Funkcja validate() zwraca nil (sukces) dla pustej wiadomości, pozostawiając sign1Msg niezainicjalizowany, a Canonicalize() później dereferencjonuje v.sign1Msg.Payload, co prowadzi do dereferencji wskaźnika nil. Wątek jest odzyskiwany, więc klient otrzymuje błąd 500, a usługa działa dalej, więc wpływ na dostępność jest minimalny. Problem naprawiono w wersji 1.5.0.
- CVE-2026-48702Wysokie
Rekor, system rejestru przejrzystości łańcucha dostaw, zawiera podatność na atak typu „bomba dekompresyjna” w funkcji `Package.Unmarshal()` dla plików APK. Atakujący może przesłać specjalnie spreparowany plik APK, który po dekompresji zajmuje ogromną ilość pamięci, powodując awarię serwera. Podatność dotyczy wersji od 0.3.0 do 1.5.1 i jest dostępna przez dwa nieuwierzytelnione endpointy.
- CVE-2023-33199Średnie
Podatność w Rekor polega na tym, że źle sformatowany wpis typu `intoto/v0.0.2` może spowodować panikę w wątku procesu Rekor. Mimo to, usługa nadal działa, a użytkownik otrzymuje komunikat o błędzie 500.
Oryginalny opis (angielski, źródło NVD)
Rekor is a software supply chain transparency log. In versions 1.4.3 and below, attackers can trigger SSRF to arbitrary internal services because /api/v1/index/retrieve supports retrieving a public key via user-provided URL. Since the SSRF only can trigger GET requests, the request cannot mutate state. The response from the GET request is not returned to the caller so data exfiltration is not possible. A malicious actor could attempt to probe an internal network through Blind SSRF. The issue has been fixed in version 1.5.0. To workaround this issue, disable the search endpoint with --enable_retrieve_api=false.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS