Cowrie には wget/curl エミュレーションにおける SSRF の脆弱性が存在し、DDoS 増幅を可能にする

このSSRF脆弱性は、攻撃者がCowrie honeypotを悪用して、任意の第三者ホストに対してHTTPベースのDoS攻撃を仕掛けることを可能にします。攻撃者はwgetやcurlコマンドのエミュレーション機能を悪用し、Cowrieが指定された宛先に対してHTTPリクエストを送信させます。これにより、標的ホストに過剰な負荷をかけ、サービス停止を引き起こす可能性があります。この脆弱性は、特にCowrieを公開ネットワークに配置している場合に、DoS攻撃の踏み台として利用されるリスクがあります。攻撃者は、脆弱なCowrieインスタンスを多数利用することで、攻撃の規模を拡大し、より広範囲に影響を及ぼす可能性があります。

Organizations deploying Cowrie honeypots, particularly those with public-facing instances, are at risk. Shared hosting environments where Cowrie is deployed alongside other services are also vulnerable, as a compromised Cowrie instance could be used to launch attacks against other tenants. Legacy Cowrie configurations that haven't been updated recently are particularly susceptible.

• python / server:

journalctl -u cowrie | grep -i "http request"

• generic web:

curl -I <cowrie_ip>/wget <arbitrary_url>

• generic web:

curl -I <cowrie_ip>/curl <arbitrary_url>

1. 2025-12-20Disclosure

   disclosure

1. 予約済み2025-04-15
2. 公開日2025-12-20
3. 更新日2026-02-04
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずCowrieをバージョン2.9.0にアップデートすることを推奨します。アップデートが困難な場合は、emulated shellモードを無効化することを検討してください。WAF（Web Application Firewall）やリバースプロキシを導入し、Cowrieからの外部へのHTTPリクエストを制限することも有効です。また、Cowrieのログを監視し、異常なHTTPリクエストを検知するためのルールを定義することも重要です。アップデート後、Cowrieの動作を確認し、脆弱性が解消されていることを確認してください。