pyLoad: ダウンロードリンクの送信を介したサーバーサイドリクエストフォージェリにより、クラウドメタデータの流出が可能

PyLoadのCVE-2026-33992は、認証された攻撃者がサーバーサイドリクエストフォージェリ（SSRF）攻撃を実行することを可能にします。これは、PyLoadのダウンロードエンジンが適切な検証なしに任意のURLを受け入れるためです。攻撃者はこれを利用して、内部ネットワークサービスにアクセスし、クラウドプロバイダーのメタデータを外部に持ち出すことができます。特にDigitalOceanドロップレットでは、この脆弱性はドロップレットID、ネットワーク構成、リージョン、認証キー、user-data/cloud-initに構成されたSSHキーなど、機密性の高いインフラストラクチャデータを公開します。CVSSスコアが9.5であることは、深刻度が非常に高いことを示しており、攻撃が成功すると、影響を受けるシステムの機密性、完全性、可用性に重大な影響を与える可能性があります。

Organizations and individuals deploying pyload-ng, particularly those hosted on cloud platforms like DigitalOcean, are at significant risk. Legacy configurations with default credentials or weak authentication mechanisms are especially vulnerable. Shared hosting environments where multiple users share the same pyload-ng instance also face increased exposure.

• python / server:

import requests
import re

# Check for suspicious outbound requests in pyload-ng logs
# Look for requests to internal IP addresses or cloud metadata endpoints
with open('/path/to/pyload-ng/logs/download.log', 'r') as f:
    for line in f:
        if re.search(r'https?://10\.\d+\.\d+\.\d+', line) or re.search(r'https?://169\.254\.\d+\.\d+', line):
            print(f'Potential SSRF detected: {line}')

• generic web:

curl -I <pyload-ng_api_endpoint>/api/addPackage?url=http://169.254.169.254/latest/meta-data/  # Check for response indicating metadata access

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-03-24
2. 公開日2026-03-27
3. 更新日2026-03-30
4. EPSS 更新日2026-04-04

この脆弱性の解決策は、PyLoadをバージョン0.5.0b3.dev97以降に更新することです。このバージョンは、ダウンロードエンジンにおけるURL検証の欠陥を修正し、SSRF攻撃のリスクを軽減します。潜在的な攻撃からPyLoadシステムを保護するために、この更新をできるだけ早く適用することを強くお勧めします。さらに、内部サービスへのアクセスを必要なものだけに制限するように、ネットワークおよびセキュリティ構成を確認してください。PyLoadログを不審な活動がないか監視することも、潜在的な攻撃試行を検出および対応するのに役立ちます。