curl_cffi: Une vulnérabilité SSRF basée sur les redirections permet un accès au réseau interne dans curl_cffi (avec contournement de l'impersonation TLS)

Cette vulnérabilité SSRF est particulièrement préoccupante car elle permet à un attaquant d'accéder à des ressources internes qui ne sont normalement pas accessibles depuis l'extérieur. L'attaquant peut exploiter cette faille pour interroger des points de terminaison de métadonnées cloud, récupérer des informations d'identification sensibles ou même compromettre des services internes. La fonction d'impersonation TLS de curl-cffi peut masquer ces requêtes, les faisant apparaître comme du trafic légitime provenant d'un navigateur, ce qui rend la détection plus difficile. Un scénario d'attaque typique consisterait à injecter une URL malveillante qui redirige la requête vers un service interne, permettant ainsi à l'attaquant de lire des données confidentielles ou d'exécuter des actions non autorisées.

Applications and services that rely on the curl-cffi Python library for making HTTP requests are at risk. This includes web applications, automation scripts, and any other Python-based tools that utilize curl-cffi. Specifically, environments where curl-cffi is used to interact with cloud metadata endpoints or other internal services are particularly vulnerable.

• python / library:

import subprocess
result = subprocess.run(['pip', 'show', 'curl-cffi'], capture_output=True, text=True)
if 'Version:' in result.stdout:
    version = result.stdout.split('Version:')[1].strip().split('\n')[0]
    if version <= '0.9.0b2':
        print('Vulnerable version of curl-cffi detected!')

• generic web:

curl -I https://your-application-url/ | grep -i 'Server:'

• generic web:

curl -I https://your-application-url/ | grep -i 'X-Powered-By:'

1. 2026-04-03Disclosure

   disclosure

1. Réservé2026-03-23
2. Publiée2026-04-03
3. Modifiée2026-04-06
4. EPSS mis à jour2026-04-14

La mitigation principale consiste à mettre à jour curl-cffi vers la version 0.15.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de mettre en place des mesures de contournement temporaires. Il est possible de configurer un pare-feu d'application web (WAF) pour bloquer les requêtes contenant des URLs suspectes ou des redirections vers des adresses IP internes. De plus, il est conseillé de limiter les privilèges de l'application utilisant curl-cffi afin de réduire l'impact potentiel d'une exploitation réussie. Après la mise à jour, vérifiez que la vulnérabilité est bien corrigée en effectuant un test de pénétration ciblé.