プラットフォーム
nodejs
コンポーネント
firecrawl
修正版
1.1.2
Firecrawlは、大規模言語モデルのためにウェブページのコンテンツを抽出するウェブスクレイパーです。バージョン1.1.1以前には、サーバーサイドリクエストフォージング（SSRF）の脆弱性が存在します。攻撃者は悪意のあるサイトを作成し、ローカルIPアドレスにリダイレクトさせることで、API経由でローカルネットワークリソースを外部に漏洩させることが可能です。この脆弱性は2024年12月30日に公開され、クラウドサービスは2024年12月27日に修正されました。
このSSRF脆弱性は、攻撃者がFirecrawlのAPIを通じて内部ネットワークリソースにアクセスすることを可能にします。攻撃者は、ローカルIPアドレスへのリダイレクトを悪用し、内部サービスや機密情報にアクセスできる可能性があります。例えば、内部データベースや管理インターフェースへのアクセス、認証情報の窃取などが考えられます。この脆弱性の影響範囲は、Firecrawlがアクセスできる内部ネットワーク全体に及ぶ可能性があります。類似のSSRF脆弱性は、内部ネットワークへの不正アクセスや情報漏洩に繋がるリスクがあります。
この脆弱性は、2024年12月30日に公開されました。現時点では、KEV（Known Exploited Vulnerabilities）カタログには登録されていません。公開されているPoCは確認されていませんが、SSRF脆弱性であるため、攻撃者による悪用が懸念されます。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の情報を収集することが重要です。
Organizations utilizing Firecrawl for web scraping, particularly those deploying it within internal networks or behind firewalls, are at risk. Environments where Firecrawl is used to process data from untrusted sources are especially vulnerable. Shared hosting environments where multiple users share a single Firecrawl instance could also be impacted.
• nodejs / server:
ps aux | grep firecrawl
journalctl -u firecrawl | grep -i "request to"• generic web:
curl -I <firecrawl_endpoint> | grep -i "server"
grep -i "request to" /var/log/nginx/access.logdisclosure
patch
エクスプロイト状況
EPSS
0.05% (16% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への主な対策は、Firecrawlをバージョン1.1.1にアップデートすることです。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することを推奨します。また、Firecrawlがアクセスできる内部ネットワークリソースを制限し、不要なポートを閉じたり、アクセス制御リスト（ACL）を設定したりすることも有効です。アップデート後、Firecrawlのログを確認し、異常なリクエストがないか確認することで、脆弱性の影響を検証できます。
Firecrawl をバージョン 1.1.1 以降にアップデートしてください。アップデートできない場合は、Playwright サービスの安全なプロキシを設定し、ローカル IP アドレスへのトラフィックをブロックしてください。環境変数 `PROXY_SERVER` を使用してプロキシを設定する方法については、ドキュメントを参照してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-56800は、Firecrawlのバージョン1.1.1以前に存在するサーバーサイドリクエストフォージング（SSRF）の脆弱性です。攻撃者は、この脆弱性を悪用して、内部ネットワークリソースにアクセスできる可能性があります。
Firecrawlのバージョン1.1.1以前を使用している場合、この脆弱性に影響を受ける可能性があります。内部ネットワークリソースへの不正アクセスや情報漏洩のリスクがあります。
Firecrawlをバージョン1.1.1にアップデートすることで、この脆弱性を修正できます。アップデートが困難な場合は、WAFを導入するなど、代替の対策を検討してください。
現時点では、積極的に悪用されているという報告はありませんが、SSRF脆弱性であるため、攻撃者による悪用が懸念されます。
Firecrawlの公式アドバイザリは、FirecrawlのウェブサイトまたはGitHubリポジトリで確認できます。