Airbyte OneDrive 0-day: CVE-2026-92204 senza patch dopo 10 mesi

Il 16 settembre 2026 il Trend Zero Day Initiative ha pubblicato l'advisory ZDI-26-704, che documenta una vulnerabilità Server-Side Request Forgery nel connettore OneDrive di Airbyte. La falla, identificata come CVE-2026-92204 con punteggio CVSS 7.7, consente a un attaccante remoto autenticato di forzare richieste HTTP arbitrarie dal server e di estrarre informazioni nel contesto dell'account di servizio. La ZDI ha atteso quasi 11 mesi dalla segnalazione iniziale prima di rendere pubblico il dettaglio tecnico.

Il meccanismo del flaw: URI non validato nel metodo _get_shared_drive_object

La ZDI identifica con precisione il punto di fallimento. Secondo l'advisory, "the specific flaw exists within the _get_shared_drive_object method. The issue results from the lack of proper validation of a URI prior to accessing resources." Il connettore OneDrive accetta input utente che definisce la risorsa da contattare e lo inoltra tramite richiesta HTTP senza verificarne la destinazione finale.

L'attaccante autenticato che controlla il parametro URI può indirizzare la richiesta verso endpoint interni. La risposta viene restituita all'utente malevolo, permettendo information disclosure nel contesto dell'account di servizio. "This vulnerability allows remote attackers to initiate arbitrary server-side requests on affected installations of Airbyte," annota la ZDI. "Authentication is required to exploit this vulnerability."

La combinazione di SSRF con information disclosure è particolarmente rilevante in piattaforme di data integration, dove l'account di servizio tipicamente dispone di privilegi estesi per leggere e sincronizzare dataset tra sorgenti diverse. La capacità di forzare richieste server-side apre scenari di scansione della rete interna, accesso a metadati cloud, e potenziale concatenazione con altre vulnerabilità nel perimetro.

La timeline del silenzio: da ottobre 2025 a settembre 2026

La ZDI ha documentato una procedura di disclosure coordinata che si è conclusa con la pubblicazione 0-day per mancato intervento del vendor. La vulnerabilità è stata segnalata ad Airbyte il 29 ottobre 2025. Il 2 febbraio 2026 il team ZDI ha effettuato un follow-up formale, chiedendo conferma di ricezione del report. Il 30 marzo 2026 la ZDI ha notificato l'intenzione di procedere alla pubblicazione come 0-day advisory.

La data finale di rilascio, 16 settembre 2026, colloca la disclosure a circa 10 mesi e mezzo dalla segnalazione iniziale. Questo intervallo supera il tipico ciclo di coordinazione vulnerabilità-patch, che nella pratica industriale standard si aggira tra 90 e 120 giorni per software open-source con manutenzione attiva.

La fonte non specifica le motivazioni del mancato rilascio del fix, né se Airbyte abbia successivamente pubblicato aggiornamenti correttivi. L'assenza di patch documentata al momento della disclosure rappresenta il fattore determinante nella decisione ZDI di pubblicare con stato 0-day.

"An attacker can leverage this vulnerability to disclose information in the context of the service account." — ZDI Advisory ZDI-26-704

Il contesto open-source e la governance dei connettori

Airbyte opera nel segmento della sincronizzazione dati tra cloud storage, data warehouse e applicazioni SaaS. Il modello open-source distribuisce la responsabilità del security response tra il core team e i contributori dei singoli connettori. L'advisory ZDI-26-704 riguarda specificamente il connettore OneDrive, componente che integra la piattaforma con l'ecosistema Microsoft 365.

Il CVSS 7.7 colloca la vulnerabilità nella fascia alta della scala di gravità, prossima alla soglia di 8.0 che definirebbe gravità critica. La combinazione di accesso remoto, autenticazione richiesta, e impatto sulla confidenzialità giustifica questo posizionamento. Il vettore di attacco privilegia la complessità bassa: l'attaccante autenticato non necessita di condizioni speciali o interazione utente aggiuntiva.

La fonte non documenta exploitation in-the-wild né sovrapposizione infrastrutturale con campagne note. La natura del flaw — SSRF in un connettore specifico — limita la superficie di attacco rispetto a vulnerabilità nel core della piattaforma, ma non elimina il rischio per gli ambienti che utilizzano attivamente la sincronizzazione OneDrive.

Cosa fare adesso

La fonte primaria documenta un'unica azione per gli ambienti che utilizzano il connettore OneDrive di Airbyte:

• Restringere l'interazione con il prodotto, data l'assenza di patch o contromisure tecniche applicabili lato utente.

La ZDI esplicita: "Given the nature of the vulnerability, the only salient mitigation strategy is to restrict interaction with the product." Questa indicazione si traduce operativamente nella disabilitazione temporanea del connettore OneDrive, nella limitazione degli account con accesso alla funzionalità, o nella migrazione verso soluzioni alternative di integrazione Microsoft 365 fino al rilascio di un aggiornamento correttivo.

La fonte non specifica ulteriori azioni operative, versioni interessate, o tempistiche di eventuale fix. Gli amministratori di sistema devono valutare il profilo di rischio sulla base dell'esposizione effettiva del connettore nel proprio ambiente e della criticità dei dati gestiti dall'account di servizio.

Verifica e limiti delle fonti

Le informazioni sono verificate sull'advisory ZDI-26-704 primario. Non risultano fonti indipendenti di conferma tecnica. L'advisory ZDI-26-703 per il connettore SharePoint esiste come advisory separato nella lista pubblicata dalla ZDI, ma il dossier non lo tratta come pattern esteso oltre la constatazione esistenziale.

Il dettaglio tecnico pubblico non include payload di esempio, URI specifici, o versioni del connettore interessate. Questa limitazione è coerente con la pratica ZDI di divulgazione 0-day, che bilancia la necessità di informare gli utenti con la riduzione del rischio di exploitation automatizzata immediata.

Fonti

• ZDI Advisory ZDI-26-704 — advisory primario completo con CVE, CVSS, dettagli tecnici e timeline
• ZDI Published Advisories List — conferma esistenziale di ZDI-CAN-28216/CVE-2026-92204 con stesso CVSS e data

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-704/
• http://www.zerodayinitiative.com/advisories/published/