ip (aka node-ip) パッケージ 2.0.1 以前のバージョンでは、isPublic を介して IP アドレスの値 0 が不適切にグローバルにルーティング可能と分類されるため、SSRF の脆弱性が存在する可能性があります。 NOTE: この問題は、i の不完全な修正によるものです。

このSSRF脆弱性を悪用されると、攻撃者は内部ネットワークリソースへの不正なアクセスを試みることができます。攻撃者は、node-ipパッケージを使用するアプリケーションを通じて、本来アクセスできないはずの内部サービスやリソースにリクエストを送信することが可能になります。例えば、内部APIエンドポイントへのアクセスや、機密情報を含むファイルへのアクセスなどが考えられます。この脆弱性は、CVE-2024-29415の不完全な修正が原因で発生しており、アプリケーションのバージョンやOSによって、0への接続が127.0.0.1として扱われる場合があるため、攻撃の影響範囲は広がる可能性があります。

Applications built on Node.js that utilize the node-ip package, particularly those deployed in shared hosting environments or those that process user-supplied IP addresses without proper validation, are at risk. Legacy applications using older versions of Node.js and the node-ip package are also vulnerable.

• nodejs / server:

  npm list ip --depth=0  # Check installed version
  grep -r 'ip.isPublic(0)' . # Search for usage of vulnerable function

• generic web:

  curl -I <application_endpoint_using_ip_package> # Check response headers for unexpected internal IPs
  grep '0.0.0.0' /var/log/nginx/access.log # Monitor access logs for connections to 0.0.0.0

1. 2025-09-16Disclosure

   disclosure

2. 2025-09-16Patch

   patch

1. 予約済み2025-09-16
2. 公開日2025-09-16
3. EPSS 更新日2026-03-23

この脆弱性への主な対策は、node-ipパッケージをバージョン2.0.2以降にアップデートすることです。アップデートが困難な場合は、WAF（Web Application Firewall）やリバースプロキシを設定し、IPアドレス0へのアウトバウンド接続をブロックすることを検討してください。また、アプリケーション側でIPアドレスの検証を強化し、信頼できないIPアドレスからのリクエストを拒否するなどの対策も有効です。アプリケーションのログを監視し、異常なリクエストパターンを検出することも重要です。