2FAuth は Server Side Request Forgery と URI 検証バイパスの脆弱性 (2fauth /api/v1/twofaccounts/preview) を抱えている

この脆弱性は、攻撃者が2FAuthサーバーを介して任意の内部または外部リソースにアクセスすることを可能にします。攻撃者は、機密情報を含む内部サービスへのアクセスを試みたり、他のシステムへの攻撃の足がかりとして利用したりする可能性があります。URI検証のバイパスにより、通常は制限されているリソースへのアクセスが可能になり、潜在的なデータ漏洩やシステムへの影響が拡大する可能性があります。この脆弱性は、類似のSSRF脆弱性と同様に、内部ネットワークへの侵入経路として悪用される可能性があります。

Organizations using 2FAuth to manage two-factor authentication, particularly those with internal services accessible from the 2FAuth server, are at risk. Environments with weak network segmentation or inadequate WAF protection are especially vulnerable. Shared hosting environments where multiple users share the same 2FAuth instance could also be affected, potentially allowing an attacker to compromise other users' 2FA accounts.

• linux / server:

journalctl -u 2fauth -g "remote URI retrieval"

• generic web:

curl -I <2fauth_server_ip>/api/v1/twofaccounts/preview -d 'uri=http://attacker.com/malicious_image.jpg' | grep -i 'Server:'

1. 2024-11-20Disclosure

   disclosure

1. 予約済み2024-11-14
2. 公開日2024-11-20
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、2FAuthをバージョン5.4.1にアップデートすることです。アップデートがすぐに適用できない場合は、WAF（Web Application Firewall）を使用して、外部からのリクエストを検証し、悪意のあるURIをブロックすることを検討してください。また、2FAuthがアクセスする内部リソースへのアクセスを制限し、最小権限の原則を適用することも重要です。アップデート後、2FAアカウントのセキュリティコードが正しく生成されることを確認してください。