Ech0: 認証なしSSRFがGetWebsiteTitleで内部サービスとクラウドメタデータへのアクセスを許可

このSSRF脆弱性は、攻撃者が内部ネットワークにアクセスするための強力な手段となります。攻撃者は、クラウドメタデータサービス（169.254.169.254）を利用して、機密情報を盗み出す可能性があります。また、localhostでリッスンしているサービスへのアクセスも可能となり、さらなる攻撃の足がかりとなる可能性があります。攻撃者は、HTMLの<title>タグ経由で、取得したデータを部分的に外部に漏洩させることができます。この脆弱性は、内部ネットワークのセキュリティ境界をバイパスし、機密データへの不正アクセスを可能にするため、重大なリスクとなります。

Organizations deploying ech0 in environments with internal services or cloud infrastructure are at risk. Specifically, deployments that expose internal services via the internet or use cloud metadata endpoints for configuration are particularly vulnerable. Shared hosting environments where multiple users share the same ech0 instance are also at increased risk, as a compromised user could potentially exploit the vulnerability to access other users' data.

• linux / server: Use journalctl to filter for requests to the /api/website/title endpoint with unusual websiteurl parameters. Example: journalctl | grep '/api/website/title' | grep 'websiteurl=' • generic web: Use curl to test the /api/website/title endpoint with various URLs, including internal IP addresses and cloud metadata endpoints. Example: curl 'http://your-ech0-instance/api/website/title?website_url=http://169.254.169.254' • generic web: Examine access and error logs for requests to /api/website/title with suspicious or unexpected URLs. Look for patterns indicating attempts to access internal resources.

1. 2026-04-03Disclosure

   disclosure

1. 予約済み2026-03-31
2. 公開日2026-04-03
3. 更新日2026-04-06
4. EPSS 更新日2026-04-14

この脆弱性への対応策として、まず、github.com/lin-snow/ech0をバージョン1.4.8-0.20260401031029-4ca56fea5ba4にアップデートすることを推奨します。アップデートが利用できない場合は、WAF（Web Application Firewall）やリバースプロキシを設定し、/api/website/titleエンドポイントへのアクセスを制限するルールを実装してください。具体的には、許可されたドメインのみへのアクセスを制限するルールや、クラウドメタデータエンドポイントへのアクセスをブロックするルールを設定することが有効です。また、入力値の検証を強化し、website_urlパラメータに不正なURLが渡されないようにする必要があります。アップデート後、/api/website/titleエンドポイントに無効なURLを指定し、エラーが発生することを確認することで、修正が正しく適用されていることを検証できます。