SSRF (Falsification de requête côté serveur) dans github.com/amir20/dozzle (CVE-2026-73087)
Résumé
SSRF dans github.com/amir20/dozzle (CVE-2026-73087). Risque d'opérations non autorisées ou de divulgation. Exploitable via isBlockedIP. Atténuation : mise à jour vers 1.29.1-0.20260804193351-8cf7ccd5ee04 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
The isBlockedIP SSRF guard in Dozzle's webhook notification dispatcher blocks loopback, link-local, multicast, and unspecified addresses but does not recognize IPv6 transition mechanism addresses (RFC 3056 6to4, RFC 6052 NAT64, RFC 4380 Teredo) that embed arbitrary IPv4 addresses. An authenticated user can bypass the guard to reach loopback services, cloud metadata endpoints (169.254.169.254), and other blocked ranges via webhook notification URLs.
Affected component / versions
- Package:
github.com/amir20/dozzle - Affected versions: all versions with SSRF guard (current HEAD
b9df313) - Vulnerable code:
internal/notification/dispatcher/webhook.go
Details
Root cause (CWE-918)
internal/notification/dispatcher/webhook.go:32-51:
func isBlockedIP(ip net.IP) bool {
if ip.IsLoopback() ||
ip.IsLinkLocalUnicast() ||
ip.IsLinkLocalMulticast() ||
ip.IsMulticast() ||
ip.IsInterfaceLocalMulticast() ||
ip.IsUnspecified() {
return true
}
if v4 := ip.To4(); v4 != nil && zeroNetV4.Contains(v4) {
return true
}
if ip.Equal(net.IPv4bcast) {
return true
}
return false
}
The guard intentionally allows RFC 1918 private ranges for self-hosted webhook targets, but blocks loopback (127.0.0.0/8, ::1), link-local (169.…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-73087 a été découverte dans github.com/amir20/dozzle.
Des attaquants peuvent cibler un point d'entrée spécifique comme isBlockedIP à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour github.com/amir20/dozzle vers 1.29.1-0.20260804193351-8cf7ccd5ee04 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/amir20/dozzle CVE-2026-73087 » sur le site de l'éditeur.
CVE-2026-73087 (github.com/amir20/dozzle) — CWE-918
Surface d'attaque : isBlockedIP / b9df313 / false / safeDialContext
Correctif : 1.29.1-0.20260804193351-8cf7ccd5ee04 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une SSRF (CWE-918) affecte github.com/amir20/dozzle. Les attaquants atteignent le code vulnérable via isBlockedIP.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/amir20/dozzle. Surface d'attaque : isBlockedIP / b9df313 / false / safeDialContext.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.29.1-0.20260804193351-8cf7ccd5ee04.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/amir20/dozzle' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/amir20/dozzleを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/amir20/dozzle to 1.29.1-0.20260804193351-8cf7ccd5ee04ステージング環境で 1.29.1-0.20260804193351-8cf7ccd5ee04 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- web github.com
- web github.com
- web github.com
- web github.com
- web nvd.nist.gov
- web github.com