private-ip は Server-Side Request Forgery (SSRF) の脆弱性を持っています

このSSRF脆弱性は、攻撃者がprivate-ipパッケージが処理するリクエストを制御することを可能にします。攻撃者は、内部ネットワークリソースへのアクセスを試みたり、機密情報を盗み出したり、さらには他のシステムへの攻撃の足がかりとして利用する可能性があります。マルチキャストIPアドレスの不正利用は、ネットワークトラフィックの混乱や、DoS攻撃につながる可能性も考慮する必要があります。この脆弱性は、特にprivate-ipパッケージが外部からの入力を直接処理する場合に深刻な影響を及ぼします。

Applications and services that rely on the private-ip Node.js package for IP address manipulation are at risk. This includes internal tools, APIs, and microservices that process IP addresses as part of their functionality. Specifically, deployments using older versions of Node.js and relying on outdated package versions are particularly vulnerable.

• nodejs / server:

  npm list private-ip

This command will list the installed version of the private-ip package. Check if the version is less than or equal to 3.0.2. • nodejs / server:

  grep -r 'private-ip' package.json

Search for the package in your project's package.json file to identify dependencies. • generic web: Review application logs for unusual outbound requests to multicast IP addresses (224.0.0.0/4).

1. 2025-07-23Disclosure

   disclosure

1. 予約済み2025-07-22
2. 公開日2025-07-23
3. 更新日2025-09-25
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずprivate-ipパッケージをバージョン3.0.3以降にアップデートすることを強く推奨します。アップデートが困難な場合は、入力検証を強化し、許可されていないIPアドレス範囲からのリクエストを拒否するルールを実装してください。WAF（Web Application Firewall）を使用している場合は、SSRF攻撃を検知・防御するためのルールを設定することも有効です。また、ネットワークセグメンテーションを実施し、内部リソースへのアクセスを制限することも、攻撃の影響範囲を限定する上で重要です。