CVE-2026-27739

Zusammenfassung

Angular SSR ist ein Server-Rendering-Tool für Angular-Anwendungen. Versionen vor 21.2.0-rc.1, 21.1.5, 20.3.17 und 19.2.21 weisen eine Server-Side Request Forgery (SSRF)-Schwachstelle in der Angular SSR-Anfrageverarbeitungspipeline auf. Die Schwachstelle besteht darin, dass Angulars interne URL-Rekonstruktionslogik benutzergesteuerten HTTP-Headern – insbesondere dem `Host`- und der `X-Forwarded-*`-Familie – direkt vertraut und diese konsumiert, um den Basis-Ursprung der Anwendung zu bestimmen, ohne jegliche Validierung der Zieldomain. Konkret fehlten dem Framework Prüfungen für die Host-Domain, Pfad- und Zeichenbereinigung sowie Portvalidierung. Diese Schwachstelle manifestiert sich auf zwei primäre Arten: implizite relative URL-Auflösung und explizite manuelle Konstruktion. Bei erfolgreicher Ausnutzung ermöglicht diese Schwachstelle eine beliebige interne Anfragesteuerung. Dies kann zur Exfiltration von Anmeldedaten, zur internen Netzwerksondierung und zu einer Vertraulichkeitsverletzung führen. Um anfällig zu sein, muss die betroffene Anwendung Angular SSR (Server-Side Rendering) verwenden, die Anwendung muss `HttpClient`-Anfragen mit relativen URLs durchführen ODER URLs manuell unter Verwendung der nicht validierten `Host`- / `X-Forwarded-*`-Header über das `REQUEST`-Objekt konstruieren, der Anwendungsserver muss für einen Angreifer erreichbar sein, der diese Header ohne strikte Validierung durch einen vorgeschalteten Proxy beeinflussen kann, und die Infrastruktur (Cloud, CDN oder Load Balancer) darf eingehende Header nicht bereinigen oder validieren. Die Versionen 21.2.0-rc.1, 21.1.5, 20.3.17 und 19.2.21 enthalten einen Patch. Einige Workarounds sind verfügbar. Vermeiden Sie die Verwendung von `req.headers` für die URL-Konstruktion. Verwenden Sie stattdessen vertrauenswürdige Variablen für Basis-API-Pfade. Wer nicht sofort aktualisieren kann, sollte eine Middleware in seiner `server.ts` implementieren, um numerische Ports und validierte Hostnamen zu erzwingen.

• CVE-2026-27739-POCPoC

  Python-PoC, das CVE-2026-27739 in Angular SSR ausnutzt: Header-Injection über Prototype Pollution und SSRF-Verkettung zu AWS IMDS/GCP-Metadaten zum Diebstahl von Anmeldedaten.