Критическая SSRF-уязвимость в Marqo 2.26.0: CVE-2026-85662
В Marqo 2.26.0 обнаружена уязвимость подделки серверных запросов (SSRF), позволяющая неавторизованным злоумышленникам инициировать запросы к произвольным URL-адресам. Проблема затрагивает endpoint add_documents и связана с отсутствием валидации хоста в функциях загрузки медиафайлов. CVSS-оценка уязвимости — 6.9 (уровень MEDIUM).
Подробности
Уязвимость присутствует в продукте marqo-ai/marqo версии 2.26.0. Проблема локализована в endpoint add_documents, где функции download_image_from_url и fetch_content_sample не выполняют фильтрацию целевых адресов и валидацию хостов. Вследствие этого злоумышленник может отправлять специально сформированные запросы, заставляя сервер обращаться к внутренним ресурсам, включая служебные облачные сервисы (например, 169.254.169.254) и другие системы, недоступные извне. По шкале CVSS v3 уязвимость получила оценку 6.9 (MEDIUM), что связано с относительной сложностью эксплуатации, но высокой потенциальной опасностью при наличии внутренней сетевой инфраструктуры. Для эксплуатации не требуется аутентификация, что значительно расширяет вектор атак.Что делать
Администраторам и разработчикам, использующим Marqo 2.26.0, рекомендуется немедленно выполнить следующие действия: 1. Обновить Marqo до последней стабильной версии, в которой устранена данная уязвимость. Проверьте официальный репозиторий проекта на предмет наличия исправлений. 2. В случае невозможности немедленного обновления, временно ограничьте сетевой доступ к endpoint add_documents с помощью межсетевого экрана или правил маршрутизации. 3. Внедрите дополнительные меры контроля исходящих запросов приложения: настройте сетевые политики, запрещающие обращение к внутренним IP-адресам и зарезервированным диапазонам (RFC 1918, link-local адресам). 4. Проведите аудит журналов на предмет подозрительных запросов к внутренним ресурсам, особенно к метаданным облачных провайдеров. Итог Уязвимость CVE-2026-85662 в Marqo 2.26.0 представляет собой реальную угрозу для организаций, использующих данное решение в своих инфраструктурах. Отсутствие фильтрации исходящих запросов в функциях обработки медиа-контента позволяет злоумышленникам получить доступ к внутренним сервисам, что может привести к утечке конфиденциальных данных или компрометации облачной среды. Рекомендуется незамедлительно применить обновления и усилить сетевую безопасность.Источник: CVE Project (cvelistV5)