curl_cffi: Redirect-based SSRF leads to internal network access in curl_cffi (with TLS impersonation bypass)

このSSRF脆弱性は、攻撃者がcurl-cffiを利用して外部から内部ネットワークリソースにアクセスすることを可能にします。例えば、クラウドメタデータエンドポイントへのリクエストを誘導することで、認証情報や設定情報を窃取する可能性があります。TLS impersonation機能と組み合わせることで、リクエストが正当なブラウザからのものとして偽装され、既存のネットワークセキュリティ対策を回避するリスクがあります。攻撃者は、内部ネットワーク内の他のシステムへの攻撃を試みることも可能です。この脆弱性の影響範囲は広範囲に及び、機密情報の漏洩や、システムへの不正アクセスにつながる可能性があります。

Applications and services that rely on the curl-cffi Python library for making HTTP requests are at risk. This includes web applications, automation scripts, and any other Python-based tools that utilize curl-cffi. Specifically, environments where curl-cffi is used to interact with cloud metadata endpoints or other internal services are particularly vulnerable.

• python / library:

import subprocess
result = subprocess.run(['pip', 'show', 'curl-cffi'], capture_output=True, text=True)
if 'Version:' in result.stdout:
    version = result.stdout.split('Version:')[1].strip().split('\n')[0]
    if version <= '0.9.0b2':
        print('Vulnerable version of curl-cffi detected!')

• generic web:

curl -I https://your-application-url/ | grep -i 'Server:'

• generic web:

curl -I https://your-application-url/ | grep -i 'X-Powered-By:'

1. 2026-04-03Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-04-03
3. 更新日2026-04-06
4. EPSS 更新日2026-04-14

まず、curl-cffiをバージョン0.15.0以降にアップデートすることを推奨します。アップデートが利用できない場合は、curl-cffiがアクセスするURLに対して、内部IPアドレスへのアクセスを制限するファイアウォールルールを実装してください。また、リダイレクトを許可しない設定や、TLS impersonation機能を無効化することも有効な対策となります。WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することも検討してください。アップデート後、curl-cffiのバージョンを確認し、脆弱性が解消されていることを確認してください。