nossrf サーバーサイドリクエストフォージェリ (SSRF)

このSSRF脆弱性を悪用されると、攻撃者は内部ネットワークリソースへの不正アクセス、機密情報の窃取、さらにはシステムへの影響を及ぼす可能性があります。例えば、内部データベースや管理インターフェースへのアクセスを試みたり、内部サービスへの攻撃の踏み台として利用される可能性があります。この脆弱性は、nossrfパッケージを利用しているアプリケーションにおいて、攻撃者が内部ネットワークをスキャンしたり、機密情報を取得したりするリスクを高めます。SSRF攻撃は、しばしば内部システムへのアクセスを可能にするため、深刻なセキュリティインシデントにつながる可能性があります。

Applications utilizing the nossrf Node.js package, particularly those deployed in environments with internal services accessible via HTTP or HTTPS, are at risk. Shared hosting environments where users have the ability to install and manage their own Node.js packages are also particularly vulnerable.

• nodejs / server:

  npm list nossrf

If the output shows a version less than 1.0.4, the system is vulnerable. • nodejs / server:

  npm audit nossrf

This command will identify the vulnerability and suggest an upgrade. • generic web: Review application logs for unusual outbound requests to local or reserved IP addresses. Look for patterns that suggest an attacker is attempting to bypass SSRF protection.

1. 2025-03-23Disclosure

   disclosure

1. 予約済み2025-03-23
2. 公開日2025-03-23
3. 更新日2025-09-26
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、nossrfパッケージをバージョン1.0.4以降にアップデートすることを推奨します。アップデートできない場合は、WAF（Web Application Firewall）やプロキシサーバーを使用して、外部からの不正なリクエストをブロックするルールを実装することを検討してください。また、nossrfパッケージの設定において、許可するホスト名を制限するなどの対策も有効です。アップデート後、nossrfパッケージのバージョンを確認し、脆弱性が修正されていることを確認してください。