プラットフォーム
nodejs
コンポーネント
directus
修正版
11.16.1
Directus は SQL データベースコンテンツを管理するためのリアルタイム API および App ダッシュボードです。バージョン 11.16.0 以前の Directus には、Server-Side Request Forgery (SSRF) の保護を回避できる脆弱性が存在しました。この脆弱性は、IPv4-Mapped IPv6 アドレス表記を使用して、ローカルおよびプライベートネットワークへのリクエストをブロックする IP アドレス検証メカニズムを回避することで悪用される可能性があります。Directus 11.16.0 でこの問題は修正されています。
CVE-2026-35409 は、SQLデータベースコンテンツを管理するためのリアルタイムAPIとAppダッシュボードであるDirectusに影響を与えます。この脆弱性は、Server-Side Request Forgery (SSRF) 保護のバイパスです。バージョン11.16.0より前は、攻撃者がIPv4-Mapped IPv6アドレス表記を使用することで、ローカルおよびプライベートネットワークへのリクエストをブロックするように設計されたIPアドレス検証メカニズムを回避できました。これにより、攻撃者は通常保護されている内部リソースへのリクエストを送信できるようになり、潜在的に基盤となるインフラストラクチャのセキュリティが損なわれる可能性があります。潜在的な影響には、内部サービスへの不正アクセス、機密ファイルの読み取り、内部システム上でのコマンド実行が含まれます。Directusシステムの構成と権限によって異なります。
DirectusのSSRF脆弱性は、Directusが正当なものとして処理する悪意のあるリクエストを送信することで悪用できます。攻撃者は、IP制限を回避するためにIPv4-Mapped IPv6表記を使用できます。たとえば、攻撃者はIPv4-Mapped IPv6アドレスを使用してローカルネットワーク上の内部サーバーにアクセスしようとする可能性があります。このアドレスは内部IPアドレスに解決されます。搾取の成功には、Directusがネットワークに公開されており、攻撃者がDirectusインスタンスにリクエストを送信できる必要があります。搾取の複雑さは比較的低く、認証を必要とせず、入力検証の欠陥に基づいています。
Organizations using Directus to manage SQL database content, particularly those with internal services accessible via HTTP/HTTPS, are at risk. Shared hosting environments where multiple Directus instances share the same server are also vulnerable, as a compromised instance could potentially be used to access other instances or internal resources.
• nodejs / server:
grep -r 'ipv4-mapped-ipv6' /var/www/directus/src/• generic web:
curl -I <directus_url>/api/some_internal_resource -H 'X-Forwarded-For: ::ffff:192.168.1.100' # Attempt to access internal resource with IPv4-Mapped IPv6disclosure
エクスプロイト状況
EPSS
0.03% (9% パーセンタイル)
CISA SSVC
CVE-2026-35409を軽減するための解決策は、Directusをバージョン11.16.0以降にアップグレードすることです。このバージョンには、IPアドレス検証を改善することでSSRF脆弱性を修正する修正が含まれています。システムを保護するために、できるだけ早くこのアップデートを適用することをお勧めします。さらに、Directus構成を調べて、ユーザーとロールに必要な権限のみが付与されていることを確認してください。Directusログを監視して、搾取の試みを意味する可能性のある疑わしいアクティビティがないか確認してください。信頼できないソースからのDirectusへのアクセスを制限するために、ファイアウォールおよびその他のネットワークセキュリティ対策を実装してください。
Directusをバージョン11.16.0以降にアップデートすることで、Server-Side Request Forgery (SSRF)の脆弱性を軽減します。このアップデートは、IPアドレスの検証方法を修正し、IPv4-Mapped IPv6アドレスを使用して保護を回避し、内部リソースにアクセスすることを防ぎます。
脆弱性分析と重要アラートをメールでお届けします。
SSRF（Server-Side Request Forgery）は、攻撃者がサーバーがアクセスすべきではないリソース（内部または外部リソースなど）へのリクエストを実行させることを許可する脆弱性です。
これは、IPv6アドレス空間内でIPv4アドレスを表す方法であり、IPv4システムとIPv6システムが互いに通信できるようにします。
Directusのバージョンが11.16.0より前の場合は、影響を受けている可能性が高いです。使用しているDirectusのバージョンを確認し、最新バージョンにアップグレードしてください。
はい、Directus構成を調べて、ファイアウォールを実装し、疑わしいアクティビティがないかログを監視してください。
CVE-2026-35409に関するより多くの情報は、National Vulnerability Database（NVD）などの脆弱性データベースで入手できます。
CVSS ベクトル