プラットフォーム
go
コンポーネント
github.com/quantumnous/new-api
修正版
0.9.7
0.9.6
CVE-2025-62155は、github.com/QuantumNous/new-apiにおいて発見されたSSRF（Server-Side Request Forgery）脆弱性です。この脆弱性は、攻撃者がサーバーを悪用して、意図しないリクエストを送信することを可能にします。バージョン0.9.5以前のバージョンが影響を受け、302リダイレクトを利用することで既存のセキュリティ対策を回避し、イントラネットへのアクセスが可能となります。バージョン0.9.6でこの問題が修正されています。
このSSRF脆弱性は、攻撃者が内部ネットワークリソースへの不正アクセスを可能にする重大なリスクをもたらします。攻撃者は、イントラネット上の機密情報（データベース、管理コンソールなど）にアクセスし、盗み出す可能性があります。さらに、この脆弱性を悪用することで、内部システムへの攻撃の足がかりを築き、横展開攻撃を実行する可能性も否定できません。特に、内部ネットワークが外部から直接アクセスできない環境において、この脆弱性は深刻な脅威となります。この脆弱性の悪用は、機密情報の漏洩、システムへの不正アクセス、さらにはサービス停止といった甚大な被害をもたらす可能性があります。
この脆弱性は、2025年11月24日に公開されました。現時点では、KEV（Known Exploited Vulnerabilities）に登録されていません。公開されているPoC（Proof of Concept）が存在するため、悪用される可能性はあります。攻撃者は、302リダイレクトを利用して既存のセキュリティ対策を回避し、内部ネットワークへのアクセスを試みる可能性があります。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を常に確認し、最新の脅威動向を把握することが重要です。
Organizations utilizing the QuantumNous new-api library in their applications, particularly those with internal services accessible via HTTP/HTTPS, are at risk. This includes deployments where the library is used as a dependency in larger projects, potentially impacting a wider range of applications and services.
• linux / server:
journalctl -u new-api -f | grep -i "redirect"• generic web:
curl -I <affected_endpoint> | grep "Location:"disclosure
エクスプロイト状況
EPSS
0.04% (13% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応として、まずgithub.com/QuantumNous/new-apiをバージョン0.9.6にアップデートすることを強く推奨します。アップデートが直ちに困難な場合は、WAF（Web Application Firewall）やリバースプロキシを設定し、302リダイレクトを監視・ブロックするルールを実装することを検討してください。また、内部ネットワークへのアクセスを制限するファイアウォールルールを強化し、不要なポートへのアクセスを遮断することも有効です。さらに、ログ監視を強化し、異常なリクエストパターンを検知するためのルールを導入することで、攻撃の早期発見に繋げることができます。
0.9.6 以降のバージョンにアップデートしてください。このバージョンには SSRF 脆弱性に対する修正が含まれています。アップデートすることで、攻撃者が 302 リダイレクトを使用してイントラネットにアクセスする脆弱性を悪用することを防ぎます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-62155は、github.com/QuantumNous/new-apiにおけるSSRF脆弱性であり、攻撃者がサーバーを悪用して内部リソースにアクセスする可能性があります。
バージョン0.9.5以前のgithub.com/QuantumNous/new-apiを使用している場合は影響を受けます。302リダイレクトにより既存のセキュリティ対策を回避できるため、内部ネットワークへの不正アクセスにつながる可能性があります。
github.com/QuantumNous/new-apiをバージョン0.9.6にアップデートしてください。アップデートが困難な場合は、WAFやファイアウォールルールを強化し、302リダイレクトを監視・ブロックするルールを実装してください。
公開されているPoCが存在するため、悪用される可能性はあります。攻撃者は、302リダイレクトを利用して既存のセキュリティ対策を回避する可能性があります。
github.com/QuantumNous/new-apiの公式リポジトリまたは関連するセキュリティアナウンスメントをご確認ください。
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。