ip (aka node-ip) パッケージ 2.0.1 以前のバージョンでは、IPアドレスの値 017700000001 が isPublic を介して不適切にグローバルにルーティング可能なアドレスとして分類されるため、SSRF の脆弱性が存在する可能性があります。 NOTE: この問題は、CVE-2024-29415 に対する不完全な修正が原因で存在します。

このSSRF脆弱性を悪用されると、攻撃者はnode-ipパッケージを利用するアプリケーションを通じて、本来アクセスできない内部ネットワークリソースにアクセスできるようになります。例えば、内部APIエンドポイントやデータベースサーバーにアクセスし、機密情報を窃取したり、不正な操作を実行したりする可能性があります。この脆弱性は、CVE-2024-29415の不完全な修正が原因で発生しており、攻撃者はこの脆弱性を利用して、内部ネットワークへの侵入を試みる可能性があります。攻撃の成功は、アプリケーションの設定とネットワーク構成に大きく依存します。

Applications built with Node.js that utilize the ip package for IP address manipulation are at risk. This includes applications deployed in cloud environments where access to metadata services is a concern, as well as applications that handle user-supplied IP addresses without proper validation.

• nodejs / supply-chain:

  npm list ip
  npm audit ip

• generic web:

  curl -I http://your-node-app/ip-endpoint  # Check for unexpected outbound requests in response headers
  grep -r '017700000001' /var/log/nginx/access.log # Look for requests containing the problematic IP address in access logs

1. 2025-09-16Disclosure

   disclosure

1. 予約済み2025-09-16
2. 公開日2025-09-16
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずnode-ipパッケージをバージョン2.0.2以降にアップデートすることを推奨します。アップデートが困難な場合は、WAF（Web Application Firewall）やプロキシサーバーを使用して、外部からの不正なリクエストをフィルタリングする対策を講じることが有効です。また、node-ipパッケージを利用するアプリケーションの入力検証を強化し、IPアドレスの形式を厳密にチェックすることで、SSRF攻撃のリスクを軽減できます。アプリケーションのログを監視し、異常なリクエストパターンを検出することも重要です。