NucleoidAI Nucleoid Outbound Request cluster.ts extension.apply サーバーサイドリクエストフォージェリ脆弱性

このSSRF脆弱性を悪用されると、攻撃者はNucleoidAI Nucleoidサーバーから任意の内部リソースにアクセスできるようになります。例えば、内部ネットワーク上の機密情報を含むサービスやデータベースにアクセスし、情報を窃取する可能性があります。また、攻撃者は内部ネットワーク上の他のシステムへの攻撃の足がかりとして、この脆弱性を利用することも考えられます。この脆弱性は、攻撃者が内部ネットワークをスキャンし、他の脆弱性を探すための偵察活動にも利用される可能性があります。攻撃範囲は、NucleoidAI Nucleoidサーバーがアクセス可能な内部ネットワーク全体に及びます。

Organizations deploying NucleoidAI Nucleoid in production environments, particularly those with sensitive internal resources or exposed APIs, are at risk. Shared hosting environments where NucleoidAI Nucleoid instances share network access with other applications are also particularly vulnerable, as a compromised NucleoidAI Nucleoid instance could potentially be used to attack other systems on the same host.

• nodejs / server:

  journalctl -u nucleoidai-nucleoid --grep "outbound request"

• nodejs / server:

  ps aux | grep -i nucleoidai-nucleoid | grep -i "https://"

• generic web: Use curl or wget to test outbound request functionality. Check response headers for unexpected origins or internal IP addresses.

  curl -v https://nucleoidai-nucleoid-instance/some/internal/path

1. 2025-10-16Disclosure

   disclosure

1. 予約済み2025-10-16
2. 公開日2025-10-16
3. 更新日2025-10-17
4. EPSS 更新日2026-03-23

まず、NucleoidAI Nucleoidをバージョン0.7.10にアップデートすることを強く推奨します。アップデートが直ちに実行できない場合は、WAF（Web Application Firewall）やリバースプロキシを設定し、SSRF攻撃を検知・防御するルールを適用してください。具体的には、許可されたドメインのみへのアクセスを制限するルールや、異常なリクエストパターンを検知するルールを設定します。また、入力値の検証を強化し、不正なURLやIPアドレスが渡されないように対策することも重要です。アップデート後、正常に修正されていることを確認するために、内部リソースへのアクセスを試みる攻撃をシミュレーションし、アクセスが拒否されていることを確認してください。