soft-serve は、github.com/charmbracelet/soft-serve の repo インポートにおける検証されていない LFS エンドポイント経由で SSRF に脆弱です

このSSRF脆弱性は、攻撃者がsoft-serveを実行しているサーバーから内部ネットワークリソースにアクセスすることを可能にします。攻撃者は、内部サービスへの不正アクセス、機密データの窃取、さらにはサーバーの制御権の奪取を試みる可能性があります。特に、内部ネットワークが適切にセグメント化されていない場合、この脆弱性の影響は広範囲に及ぶ可能性があります。類似のSSRF脆弱性は、内部ネットワークへのアクセスを容易にし、攻撃対象領域を拡大させることで、重大なセキュリティインシデントを引き起こす可能性があります。

Applications built using the soft-serve Go library for repository management, particularly those handling external repository imports, are at risk. This includes CI/CD pipelines, build systems, and any application that leverages soft-serve to import and process Git repositories.

• go / server:

find /path/to/your/go/project -name "soft-serve.go" -print0 | xargs grep -l "LFS endpoint"

• generic web:

curl -I <your_application_url>/repo_import | grep -i "lfs"

1. 2026-03-10Disclosure

   disclosure

1. 予約済み2026-03-05
2. 公開日2026-03-10
3. 更新日2026-03-23
4. EPSS 更新日2026-03-23

バージョン0.11.4へのアップデートが推奨されます。アップデートが直ちに実行できない場合は、LFSエンドポイントへのアクセスを制限するファイアウォールルールを実装するか、soft-serveの設定でLFS機能の利用を無効にすることを検討してください。また、リポジトリインポートの際に、信頼できないソースからのインポートを避けるように注意する必要があります。アップデート後、LFSエンドポイントへのアクセスを試みることで、脆弱性が修正されていることを確認してください。