PT-2025-4595 · Coolify · Coolify

Angelej · Publicado 2025-01-24 · Atualizado 2025-02-05 · CVE-2025-22609

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Coolify anteriores à 4.0.0-beta.361

Descrição A falha permite que qualquer usuário autenticado vincule qualquer chave privada existente em uma instância do Coolify ao seu próprio servidor. Se a configuração do servidor (IP/domínio, porta e usuário) coincidir com a configuração do servidor da vítima, o atacante poderá usar o recurso "Terminal" e executar comandos arbitrários no servidor da vítima. Isso potencialmente concede acesso root a outros servidores.

Recomendações Versões do Coolify anteriores à 4.0.0-beta.361: Atualize para a versão 4.0.0-beta.361 ou posterior para corrigir a falha. Como medida paliativa temporária, considere restringir o acesso ao recurso Terminal até que uma correção esteja disponível. Além disso, revise as configurações do servidor para garantir que as definições de IP/domínio, porta e usuário não coincidam com as de outros servidores, minimizando o risco de exploração.

Exploit

Correção

LPE

RCE

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-22609

GHSA-3W2C-JFR2-9PG9

Produtos afetados

Coolify

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/22xxx/CVE-2025-22609.json · Exploit
• https://github.com/coollabsio/coolify/security/advisories/GHSA-3w2c-jfr2-9pg9 · Aviso do Fabricante
• https://github.com/coollabsio/coolify · Nota
• https://twitter.com/CVEnew/status/1882833371174220067 · Publicação no Twitter
• https://twitter.com/TMJIntel/status/1885007316677718085 · Publicação no Twitter
• https://t.me/cvedetector/16307 · Publicação no Telegram
• https://twitter.com/BursaMatus/status/1882835925345910839 · Publicação no Twitter
• https://t.me/pentestingnews/55801 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-22609 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/1882836706585403542 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1884437157487730950 · Publicação no Twitter
• https://twitter.com/Brandefense/status/1887033521060913492 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-22609 · Nota de Segurança
• https://twitter.com/Netlas_io/status/1884502947289088292 · Publicação no Twitter
• https://twitter.com/Dinosn/status/1884916072052031836 · Publicação no Twitter