PinePods: Server-Side Request Forgery über Podcast-Enclosure-URL

Zusammenfassung

PinePods ruft Enclosure-URLs von Podcast-Episoden auf dem Server ab, ohne Zielhost oder IP-Adresse zu prüfen. Ein authentifizierter Benutzer, auch einer, der sich über die Selbstregistrierung angemeldet hat, kann einen präparierten RSS-Feed abonnieren und den Server GET- und HEAD-Anfragen an Loopback-, private Netzwerk- und Cloud-Metadaten-Adressen senden lassen. Die Antworten werden als heruntergeladene Episoden gespeichert und können ausgelesen werden, wodurch interne Dienste und Daten offengelegt werden können. Der serverseitige Download von Episoden ist standardmässig aktiviert.

Betroffen

• PinePods vor 0.9.0 (CNA-Eintrag: betroffen < 0.9.0)
• VulDB nennt den Bereich bis 0.8.x, das GitHub-Advisory nennt <= 0.6.0; der genaue Bereich ist umstritten
• CVSS: CNA 9.1 (Kritisch), VulDB 4.3 (Mittel)

Behoben in

• Version 0.9.0 (Commit 34843d37168c37bbf23ed6dbbf403f351bd64755 ergänzt eine SSRF-Schutzprüfung)

Umgehung

• Kein vom Hersteller dokumentierter Workaround bekannt.
• Übergangsmassnahmen (unsere Empfehlung): Selbstregistrierung deaktivieren, serverseitige Episoden-Downloads bis zum Patch deaktivieren und ausgehenden Verkehr des PinePods-Hosts auf Loopback-, private Netzwerke und Cloud-Metadaten-Adressen einschränken.

Ausnutzung

• CISA SSVC führt die Ausnutzung als PoC und die Automatisierbarkeit als nein.
• VulDB gibt an, dass kein Exploit existiert; ein Drittanbieter-Tracker behauptet, Exploit-Code sei veröffentlicht worden, was nicht verifiziert ist.
• Keine bestätigte Ausnutzung in freier Wildbahn und kein Eintrag im CISA KEV gefunden.

Unsere Empfehlung

• Alle PinePods-Instanzen identifizieren, einschliesslich Container und Cloud-VMs.
• Auf Version 0.9.0 oder neuer aktualisieren.
• Bis zur Aktualisierung offene Registrierung und serverseitige Downloads deaktivieren und den ausgehenden Verkehr einschränken.
• Läuft PinePods auf einer Cloud-VM, den Zugriff auf den Metadaten-Dienst prüfen und bei Verdacht auf Missbrauch Zugangsdaten rotieren.
• Benutzerkonten und Feed-Abonnements auf unbekannte Einträge prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub fix commit 34843d3 github.com
• GitHub Security Advisory GHSA-j876-2282-p4hg github.com
• PinePods 0.9.0 release tag github.com
• VulDB entry 429352 vuldb.com
• Strix CVE overview www.strix.ai
• Ethiack threat tracker zero.ethiack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:06.