CVE-2026-55591: Unauthenticated SSRF in Signal Server 2.27.0 - Analysis & PoC

漏洞总结：Server-Side Request Forgery via Remote Connection Endpoints 漏洞概述 漏洞名称：Server-Side Request Forgery (SSRF) via Remote Connection Endpoints CVE ID：CVE-2026-55591 CWE：CWE-918 严重等级：Critical（CVSS 3.1 评分 8.1/10） 受影响版本：<= 2.27.0 修复版本：2.28.0 漏洞函数： （位于 ） 核心问题： 接受攻击者可控的 、 、 、 、 等参数，且未对目标主机做任何校验，允许服务器向任意内部网络资源、云元数据服务或其他未预期目标发起任意 HTTP/HTTPS 请求。默认配置下（未配置 security）这些端点无需认证即可访问。 影响范围 可触达地址： - Loopback： 、 、 - RFC 1918 私有网段： 、 、 - Link-local / 云元数据： （AWS EC2 实例元数据、GCP、Azure IMDS） - IPv4 link-local： - 任意外部主机（服务器可被当作开放代理） 认证绕过：默认配置下 为 no-op，三个端点无需认证即可访问。 TLS 校验绕过： 参数直接控制 ，攻击者设置 后服务器可连接任意 HTTPS 端点而不校验证书，存在中间人攻击风险。 路径穿越： 端点将 直接拼入 URL 路径，攻击者可用 等路径穿越目标主机上的任意路径。 修复方案 升级到 2.28.0 或更高版本。 配置 策略（如 ），避免默认 no-op 导致的认证绕过。 对 的目标主机做白名单/黑名单校验，禁止 loopback、私有网段、link-local 及云元数据地址。 默认启用 TLS 证书校验（ ）。 对 的 做路径规范化，防止路径穿越。 POC 代码 目标环境搭建 设置目标变量： PoC 1：Loopback 连接（自发现） 响应（确认服务器连接到自身）： PoC 2：端口扫描（基于错误差异） 三种不同的错误响应可让攻击者映射内部网络拓扑。 PoC 3：AWS 实例元数据服务（IMDSv1） 在云托管的 signal-server（AWS EC2）上： 服务器连接到 EC2 元数据端点，响应中会包含发现 JSON 解析失败，泄露元数据。 对深层路径，使用 配合路径穿越： 影响 1. 内部网络扫描：攻击者可探测内部主机和端口，响应可区分开放端口（HTTP 响应返回）、关闭端口（连接被拒绝）和被过滤端口（10 秒超时）。 2. 云元数据泄露：在云托管实例上（AWS EC2、GCP、Azure），攻击者可读取实例元数据服务 以窃取 IAM 凭证、实例身份令牌等敏感数据。 3. 内部服务数据外泄： 端点返回目标返回的完整响应体，允许读取来自内部 HTTP 服务的数据，而外部无法访问。 4. 服务器侧 POST 请求： 端点发送带攻击者可控 JSON 体的 POST 请求，可与接受 POST 的内部 API 交互。 5. 后续扩展：在容器化或 Kubernetes 环境中，服务器可用于访问集群内部服务、Kubernetes API 或 Docker 网络中的其他容器。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-55591: Unauthenticated SSRF in Signal Server 2.27.0 - Analysis & PoC

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-55591: Unauthenticated SSRF in Signal Server 2.27.0 - Analysis & PoC

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！