Terrascan v1.18.3 и предшествующие уязвимы для подделки запроса на стороне сервера (SSRF) через параметр webhook_url в конечной точке скани…

Terrascan v1.18.3 и предшествующие уязвимы для подделки запроса на стороне сервера (SSRF) через параметр webhook_url в конечной точке сканирования файла (POST /v1/{iac[iacVersion}/{cloud}/local/file/scan) при работе в режиме сервера. Неаутентифицированный удаленный злоумышленник может предоставить произвольный URL в качестве параметра multipart form webhook_url. После сканирования загруженного файла Terrascan отправляет запрос HTTP POST на URL-адрес, контролируемый злоумышленником, содержащий полные результаты сканирования в качестве тела JSON, а поставляемый злоумышленником webhook_token пересылается в виде токена Bearer в заголовке Авторизации. Решетируемый HTTP-клиент повторно вводит до 10 раз на отказе. Это влияет на развертывания, работающие с terrascan в режиме сервера (terrascan server), который связывается с 0.0.0.0 без аутентификации. Примечание: Terrascan был заархивирован в августе 2023 года, и патч не будет выпущен.