Typebot は、Webhook ブロックのサーバーサイドリクエストフォージェリ (SSRF) により AWS EKS 認証情報を公開する可能性があります

このSSRF脆弱性は、攻撃者がIMDSv2保護をカスタムヘッダーインジェクションによって回避し、EKSノードロールのAWS IAM一時認証情報を抽出することを可能にします。認証情報が盗まれた場合、攻撃者はKubernetesクラスター全体を完全に制御できるようになり、関連するAWSインフラストラクチャへのアクセスも得ることが可能になります。この脆弱性は、AWS環境を運用しているTypebotユーザーにとって、重大なセキュリティリスクをもたらします。攻撃者は、機密データの窃取、マルウェアの展開、さらにはインフラストラクチャの破壊といった攻撃を実行する可能性があります。

Organizations deploying Typebot within Kubernetes environments, particularly those utilizing AWS EKS and relying on IAM roles for node authentication, are at significant risk. Shared hosting environments running Typebot are also vulnerable, as the SSRF could potentially be leveraged to access resources outside the intended scope.

• linux / server:

journalctl -u typebot -g "HTTP Request"

• generic web:

curl -I <typebot_instance_url>/webhook/request | grep -i "x-aws-ec2-metadata"

1. 2025-11-13Disclosure

   disclosure

1. 予約済み2025-11-10
2. 公開日2025-11-13
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、Typebotをバージョン3.13.1にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合、IMDSへのアクセスを制限するファイアウォールルールを実装し、Typebotインスタンスへのアクセスを厳密に制御することで、攻撃の影響を軽減できます。また、カスタムヘッダーインジェクションを防止するための入力検証を強化することも有効です。Typebotの構成を定期的に見直し、不要なHTTPリクエストを制限することも重要です。アップデート後、Typebotのバージョンを確認し、脆弱性が修正されていることを確認してください。