CVE-2026-25534: Spinnaker Clouddriver e Orca: bypass de validação de URL com underscores em hostnames (SSRF)
Os componentes Clouddriver e Orca do Spinnaker apresentam um bypass da validação de URL baseado em underscores em hostnames, que o parsing de URL do Java não trata corretamente. Segundo o aviso, isso também contorna a correção anterior da CVE-2025-61916 e afeta o tratamento de expressões fromUrl do Orca. O aviso indica versões corrigidas, e a pontuação CVSS base registrada é 9.1 (crítica).
Visão geral
Clouddriver e Orca do Spinnaker receberam uma nova verificação de validação de URL, mas ela pode ser contornada porque objetos URL do Java não tratam corretamente underscores em hostnames durante o parsing. Segundo o aviso, isso contorna a correção anterior da CVE-2025-61916 e também afeta as validações de URL já existentes no tratamento de expressões fromUrl do Orca.
Impacto
- A fraqueza é classificada como CWE-918 (Server-Side Request Forgery).
- O registro informa pontuação CVSS base de 9.1 (crítica), reportada pela CNA GitHub.
- O aviso afirma que os artefatos do Clouddriver e do Orca são afetados.
Produtos e versões afetadas
- Io.spinnaker.clouddriver Clouddriver-artifacts: anteriores a 2025.2.4; de 2025.3.0 até antes de 2025.3.1; de 2025.4.0 até antes de 2025.4.1.
- Io.spinnaker.orca Orca-core: mesmas faixas acima.
- O aviso cita 2025.4.1, 2025.3.1, 2025.2.4 e 2026.0.0 como releases que incluem a correção integrada. A lista estruturada de correções do registro está vazia, então confirme o mapeamento exato no aviso.
Status de exploração
O registro não indica esta CVE no catálogo KEV da CISA. O valor SSVC de exploração é none e a probabilidade EPSS é 0.00421. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize Clouddriver e Orca para uma release corrigida citada no aviso, usando a linha de release compatível com sua implantação.
- O aviso sugere desativar os artefatos afetados no sistema como contorno. O registro não diz o quanto isso elimina a exposição, então trate essa medida como temporária.
- Revise se recursos baseados em URL de artefatos ou expressões fromUrl podem ser acessados por usuários não confiáveis.
Orientações de detecção
- Revise logs de requisições de saída do Clouddriver ou do Orca para hosts internos ou inesperados, especialmente hostnames com underscores.
- Monitore requisições incomuns originadas desses serviços para metadados de nuvem ou endereços internos.
Limitações das informações disponíveis
- O registro não traz detalhes públicos de exploit nem telemetria de exploração além de EPSS e SSVC.
- O campo estruturado de correções está vazio, então o mapeamento de versões corrigidas depende do texto do aviso.
- O registro não informa quantas implantações usam os artefatos afetados ou as expressões fromUrl do Orca.
Perguntas frequentes
Qual é a causa raiz da CVE-2026-25534?
Segundo o aviso, objetos URL do Java não tratam corretamente underscores em hostnames durante o parsing, por isso a nova validação de URL pode ser contornada.
Quais componentes são afetados?
O registro lista Io.spinnaker.clouddriver Clouddriver-artifacts e Io.spinnaker.orca Orca-core, com faixas anteriores a 2025.2.4, de 2025.3.0 até antes de 2025.3.1 e de 2025.4.0 até antes de 2025.4.1.
Há exploração ativa conhecida?
O registro não a lista no KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
O que os administradores devem fazer agora?
Atualizar para uma release corrigida citada no aviso para a linha de release utilizada. Se não for possível, o aviso sugere desativar os artefatos afetados como contorno temporário.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.