Chaskiq: Server-side Request Forgery in createUrlUpload-GraphQL-Mutation

Zusammenfassung

Chaskiq bis und mit Version 2.0.3 enthält eine Server-Side Request Forgery (SSRF) Schwachstelle in der createUrlUpload-GraphQL-Mutation, die über POST /graphql erreichbar ist. Ein nicht authentifizierter Angreifer kann den Server beliebige URLs abrufen lassen, einschliesslich interner Adressen und Metadaten-Endpunkte von Cloud-Instanzen. Die Antwort kann über die zurückgegebene ActiveStorage-Blob-URL ausgelesen werden, wodurch Zugangsdaten oder interne Daten offengelegt werden können.

Betroffen

• Chaskiq bis 2.0.3 (CVE-Eintrag: Versionen 0 bis 2.0.3 betroffen)

Behoben in

Unbekannt. Es wurde weder eine Sicherheitsmitteilung des Herstellers noch eine korrigierte Version gefunden.

Umgehung

• Keine vom Hersteller dokumentierte Massnahme.
• Ausgehende Anfragen des Applikationsservers an interne Netze und Metadaten-Adressen blockieren.
• Zugriff auf /graphql auf einem Reverse Proxy oder einer WAF einschränken oder blockieren, sofern möglich.
• Falls die createUrlUpload-Mutation nicht benötigt wird, diese deaktivieren.
• Auf AWS IMDSv2 erzwingen. Dies begrenzt den Missbrauch von Metadaten, behebt die SSRF aber nicht.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Der Status eines öffentlichen Proof of Concept ist umstritten: Die CISA-ADP-SSVC-Bewertung führt die Ausnutzung als 'poc' und die Automatisierbarkeit als 'yes', während VulDB angibt, dass kein Exploit verfügbar ist.
• Es ist davon auszugehen, dass auch Angreifer mit geringen Fähigkeiten eine öffentliche Beschreibung finden können.

Unsere Empfehlung

• Alle Chaskiq-Instanzen inventarisieren, einschliesslich Forks und Docker-Images, und deren Versionen prüfen.
• Aus dem Internet erreichbare Instanzen mit Version 2.0.3 oder älter als dringlich behandeln.
• Die obengenannten Massnahmen sofort umsetzen und im GitHub-Repository nach einer korrigierten Version suchen. Keine Version als sicher voraussetzen.
• Ausgehenden Datenverkehr des Servers einschränken und Logs auf POST-/graphql-Anfragen mit createUrlUpload sowie ungewöhnliche Blob-Zugriffe prüfen.
• Andere nicht authentifizierte GraphQL-Mutationen im selben Code überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE JSON record raw.githubusercontent.com
• Chaskiq graphql_controller.rb at 2.0.3 github.com
• Chaskiq create_url_upload.rb at 2.0.3 github.com
• VulnCheck advisory www.vulncheck.com
• Write-up (HackMD) hackmd.io
• HOL Guard CVE entry hol.org
• VulDB entry vuldb.com
• Vulnrichment (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:18.