CVE-2026-55177

CloudTAK to oparte na przeglądarce narzędzie wspólnego obrazu operacyjnego i świadomości sytuacyjnej kompatybilne z TAK. Przed wersją 13.10.0 każda trasa w rodzinie pomocniczej ESRI (api/routes/esri.ts) pobiera z żądania adres URL w pełni kontrolowany przez atakującego (adres URL treści POST /api/esri oraz parametry zapytania portalu / serwera / warstwy na trasach GET /api/esri/*) i przekazuje go do EsriBase / EsriProxyPortal / EsriProxyServer / EsriProxyLayer w api/lib/esri.ts, która pobiera ją samym pobieraniem z @tak-ps/etl. W żadnym momencie nie jest stosowana żadna klasyfikacja adresu IP/DNS/nazwy hosta, więc miejsce docelowe nigdy nie jest sprawdzane pod kątem zakresów prywatnych, sprzężenia zwrotnego lub lokalnych łączy. Każdy uwierzytelniony użytkownik (trasy wymagają tylko Auth.is_auth(config, req, {anyResources: true }), tj. dowolnego tokenu, a nie administratora) może zatem sprawić, że serwer CloudTAK będzie wysyłał dowolne wychodzące żądania GET/POST na adresy wewnętrzne, takie jak usługa metadanych instancji w chmurze (169.254.169.254), porty administracyjne pętli zwrotnej (127.0.0.1:<port>) i inne hosty osiągalne tylko z poziomu wdrożeniowego VPC. Jest to SSRF z pełnym odczytem, ​​a nie ślepy: w przypadku powodzenia nadrzędna treść JSON jest zwracana do obiektu wywołującego za pośrednictwem res.json(...), a w przypadku niepowodzenia ciąg błędu nadrzędnego jest dosłownie odzwierciedlany jako Błąd serwera ESRI: <komunikat>. Osoba atakująca może odczytać metadane w chmurze (oraz tymczasowe poświadczenia uprawnień ujawniane przez rolę instancji), wyliczyć usługi wewnętrzne i wydobyć ich treści odpowiedzi. Klasyfikator adresów URL sniff() nie zapewnia żadnej ochrony: dopasowuje jedynie do wzorca nazwę ścieżki (/rest, /arcgis/rest, /sharing/rest), więc adres URL taki jak http://169.254.169.254/arcgis/rest lub http://127.0.0.1:8500/rest przepuszcza funkcję sniff() i jest pobierany. Ten problem został naprawiony w wersji 13.10.0.