TerriaJS-Server は、プロキシ許可リストにドメイン検証のバイパス脆弱性があります

この脆弱性は、攻撃者がproxyableDomains設定で許可されているドメインを悪用し、許可されていないドメインをプロキシできることを意味します。例えば、example.comが許可されている場合、maliciousexample.comもプロキシ可能になります。これにより、攻撃者は悪意のあるドメインを通じてコンテンツをプロキシし、機密情報を盗んだり、悪意のあるスクリプトを実行したりする可能性があります。この脆弱性は、特にプロキシ制限を厳密に適用する必要がある環境において、重大なセキュリティリスクをもたらします。

Organizations using terrajs-server for proxying web traffic, particularly those with sensitive data or critical services, are at risk. Shared hosting environments where multiple users share a terrajs-server instance are also particularly vulnerable, as a compromise of one user's account could potentially affect others.

• nodejs / server:

  ps aux | grep terrajs-server

• nodejs / server:

  find / -name "proxyableDomains" -type f

• generic web: Check terrajs-server logs for requests to unexpected or unauthorized domains. Look for patterns indicating proxy bypass attempts. • generic web: Review terrajs-server configuration files for overly permissive proxyableDomains settings.

1. 2026-02-26Disclosure

   disclosure

1. 予約済み2026-02-24
2. 公開日2026-02-26
3. EPSS 更新日2026-03-23

この脆弱性への最善の対応は、terriajs-serverをバージョン4.0.3にアップグレードすることです。アップグレードがシステムに影響を与える場合は、一時的な回避策として、proxyableDomains設定をより厳密に制限し、許可されていないドメインからのプロキシを完全にブロックすることを検討してください。また、WAF（Web Application Firewall）やリバースプロキシを使用して、悪意のあるドメインからのトラフィックをフィルタリングすることも有効です。アップグレード後、設定が正しく適用されていることを確認し、プロキシ制限が期待通りに機能していることを検証してください。