Astro Cloudflareアダプターの/_imageエンドポイントにおけるサーバーサイドリクエストフォージェリ (SSRF)

このSSRF脆弱性を悪用されると、攻撃者はAstroサイトの画像最適化エンドポイントを介して、内部ネットワークリソースや機密情報にアクセスする可能性があります。例えば、攻撃者は内部APIを呼び出したり、認証情報を取得したり、機密データを盗み出すことが考えられます。また、この脆弱性は、攻撃者がサイトの信頼性を利用して、他のシステムへの攻撃の足がかりとして利用される可能性もあります。攻撃者は、不正なドメインからコンテンツを配信することで、ユーザーをフィッシングサイトに誘導したり、マルウェアを拡散したりする可能性があります。

Astro websites utilizing the Cloudflare adapter with output: 'server' and imageService: 'compile' are at risk. This includes developers who have integrated external image sources into their Astro projects without proper validation and those using shared hosting environments where the server configuration might be less controllable.

• nodejs / server:

  npm list @astrojs/cloudflare

• nodejs / server:

  grep -r 'imageService: \'compile\'' ./astro.config.mjs ./astro.config.ts

• generic web: Check Astro site's /_image endpoint for unauthorized domain access by attempting to load an image from an external, non-approved domain.

1. 2025-09-04Disclosure

   disclosure

1. 予約済み2025-08-27
2. 公開日2025-09-04
3. 更新日2025-09-05
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、@astrojs/cloudflareをバージョン12.6.6以上にアップデートすることです。アップデートがすぐに難しい場合は、Cloudflareの設定で、画像最適化エンドポイントへのアクセスを許可するドメインを厳密に制限するなどの回避策を検討してください。また、WAF（Web Application Firewall）を導入し、不正なリクエストを検知・ブロックすることも有効です。画像最適化エンドポイントへのアクセスログを監視し、異常なアクセスパターンを検出することも重要です。アップデート後、画像最適化エンドポイントにアクセスし、期待通りの動作であることを確認してください。