BentoML ファイルアップロード処理における SSRF 脆弱性

この SSRF 脆弱性は、攻撃者が BentoML サーバーを経由して、本来アクセスできないはずの内部リソースにアクセスすることを可能にします。例えば、内部ネットワーク上のデータベースや管理インターフェースにアクセスし、機密情報を窃取したり、不正な操作を実行したりする可能性があります。また、攻撃者は BentoML サーバーを悪意のあるリクエストのプロキシとして利用し、他のシステムへの攻撃を隠蔽することも可能です。脆弱性の影響範囲は広範囲に及び、BentoML を利用したアプリケーション全体に影響を及ぼす可能性があります。類似の SSRF 脆弱性は、他の機械学習プラットフォームでも報告されており、注意が必要です。

Organizations deploying machine learning models using BentoML, particularly those with internal network resources accessible to the model serving platform, are at risk. Legacy BentoML deployments and those lacking robust network segmentation are especially vulnerable.

• python / server:

import requests
import urllib.parse

def check_bentoml_ssrf(url):
    try:
        parsed_url = urllib.parse.urlparse(url)
        if parsed_url.scheme in ('http', 'https') and parsed_url.netloc:
            # Check for internal IP addresses or unusual domains
            if any(octet in parsed_url.netloc for octet in range(1, 256)):
                return True
    except Exception as e:
        print(f"Error parsing URL: {e}")
    return False

# Example usage (replace with actual BentoML endpoint)
url = "http://localhost:8000/upload?url=http://169.254.169.254/latest/meta-data/"
if check_bentoml_ssrf(url):
    print("Potential SSRF vulnerability detected!")
else:
    print("No SSRF vulnerability detected.")

• linux / server:

journalctl -u bentoml -f | grep -i "request: http" # Monitor for outbound HTTP requests

1. 2025-07-29Disclosure

   disclosure

2. 2025-07-29Patch

   patch

1. 予約済み2025-07-21
2. 公開日2025-07-29
3. 更新日2025-07-30
4. EPSS 更新日2026-03-23

まず、BentoML を 1.4.19 以降のバージョンにアップデートすることを強く推奨します。アップデートが困難な場合は、ファイルアップロード機能の使用を一時的に停止するか、アップロード可能なファイルの種類を制限するなどの回避策を講じる必要があります。また、WAF (Web Application Firewall) を導入し、SSRF 攻撃を検知・防御するルールを設定することも有効です。ファイルアップロード処理において、ユーザーが提供する URL の検証を厳格に行い、内部ネットワークアドレスへのアクセスを禁止するなどの対策も重要です。アップデート後、BentoML のバージョンを確認し、脆弱性が修正されていることを確認してください。