Server-Side Request Forgery (SSRF) in ionicabizau/parse-url

このSSRF脆弱性を悪用されると、攻撃者はparse-urlを介して内部ネットワーク上の機密情報にアクセスしたり、内部サービスを不正に操作したりする可能性があります。例えば、内部データベースへのアクセス、管理インターフェースへのアクセス、または他の内部システムへの攻撃の足がかりとして利用される可能性があります。攻撃者は、parse-urlが処理するURLを制御することで、任意の内部リソースへのアクセスを試みることができます。この脆弱性は、特に内部ネットワークが外部ネットワークから直接アクセス可能である場合に、重大なセキュリティリスクをもたらします。

Applications built with Node.js that utilize the parse-url package are at risk. This includes web applications, APIs, and backend services that process URLs from external sources. Projects relying on older versions of parse-url without robust input validation are particularly vulnerable.

• nodejs / server:

  npm list parse-url
  # Check for versions <= 8.1.0

• nodejs / server:

  find /usr/local/lib/node_modules /opt/node_modules -name "parse-url" -print0 | xargs -0 grep -i "//internal.example.com"
  # Look for internal URLs in the package code

1. 2022-09-14Disclosure

   disclosure

1. 予約済み2022-08-19
2. 公開日2022-09-14
3. 更新日2024-08-03
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、parse-urlをバージョン8.1.0にアップデートすることです。アップデートがすぐに実行できない場合は、parse-urlが処理するURLの入力を厳密に検証し、許可されていないURLへのアクセスをブロックするWAF（Web Application Firewall）やプロキシサーバーを導入することを検討してください。また、parse-urlがアクセスできる内部リソースを最小限に制限することも有効です。アップデート後、parse-urlのバージョンを確認し、脆弱性が修正されていることを確認してください。