Redirection ouverte dans irrd (CVE-2026-28681)
Résumé
Vulnérabilité dans irrd (CVE-2026-28681). Des informations confidentielles peuvent être exposées. Exploitable via Host header. Atténuation : mise à jour vers 4.5.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
An attacker can manipulate the HTTP Host header on a password reset or account creation request. The confirmation link in the resulting email can then point to an attacker-controlled domain. Opening the link in the email is sufficient to pass the token to the attacker, who can then use it on the real IRRD instance to take over the account. A compromised account can then be used to modify RPSL objects maintained by the account's mntners and perform other account actions.
If the user had two-factor authentication configured, which is required for users with override access, an attacker is not able to log in, even after successfully resetting the password.
This issue affects IRRD 4.5.0 and all 4.4.x versions prior to 4.4.5. IRRD 4.3 and earlier are not affected, as they did not include the web UI.
Cause
Email links in account creation, password reset, and mntner migration emails were generated from the HTTP request context, allowing an attacker to manipulate the HTTP Host header to redirect these links to an attacker-controlled domain (password reset poisoning).
Resolution
Requests with a Host header that does not match server.http.url are now rejected, preventing Host header injection attacks against the web UI.
All existing password reset tokens are invalidated by this upgrade, rendering any tokens that may have been captured by an attacker unusable.
Patched versions: 4.4.5 and 4.5.1.
Workarounds
Configuring a reverse proxy (such as nginx)…
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-28681 a été découverte dans irrd.
Des attaquants peuvent cibler un point d'entrée spécifique comme Host header à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées.
Action : mettez à jour irrd vers 4.5.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « irrd CVE-2026-28681 » sur le site de l'éditeur.
CVE-2026-28681 (irrd) — CWE-601
Vecteur d'attaque : distant (réseau) / non authentifié
Surface d'attaque : Host header / Host / server.http.url
Correctif : 4.5.1 — appliquer immédiatement
Contournement : Configuring a reverse proxy (such as nginx) to reject requests where the Host header does not match the expected hostname is an effective workaround.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-601) affecte irrd. Les attaquants atteignent le code vulnérable via Host header sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de irrd. Surface d'attaque : Host header / Host / server.http.url.
Gravité : ?. Des informations confidentielles peuvent être exposées.
Mettre à jour vers 4.5.1.
Contournement : Configuring a reverse proxy (such as nginx) to reject requests where the Host header does not match the expected hostname is an effective workaround.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'irrd' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
irrdを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Configuring a reverse proxy (such as nginx) to reject requests where the `Host` header does not match the expected hostname is an effective workaround.パッチが適用されるまでの応急処置として、Configuring a reverse proxy (such as nginx) to reject requests where the
Hostheader does not match the expected hostname is an effective workaround. を実施。回避策の副作用 (機能低下) を確認した上で。 -
3Apply patch patch
Upgrade irrd to 4.5.1ステージング環境で 4.5.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com
- web irrd.readthedocs.io
- web irrd.readthedocs.io