nossrf Server-Side Request Forgery (SSRF)

Een succesvolle exploitatie van deze SSRF-kwetsbaarheid kan aanvallers in staat stellen om interne bronnen te bereiken die normaal gesproken niet toegankelijk zijn vanaf het internet. Dit kan leiden tot het blootleggen van gevoelige informatie, zoals interne configuratiebestanden, database credentials of andere interne services. Daarnaast kan een aanvaller deze kwetsbaarheid mogelijk gebruiken om interne systemen te scannen en te identificeren welke services draaien, wat kan leiden tot verdere aanvallen. De impact is aanzienlijk, aangezien de aanvaller in potentie toegang kan krijgen tot een breed scala aan interne resources.

Applications utilizing the nossrf Node.js package, particularly those deployed in environments with internal services accessible via HTTP or HTTPS, are at risk. Shared hosting environments where users have the ability to install and manage their own Node.js packages are also particularly vulnerable.

• nodejs / server:

  npm list nossrf

If the output shows a version less than 1.0.4, the system is vulnerable. • nodejs / server:

  npm audit nossrf

This command will identify the vulnerability and suggest an upgrade. • generic web: Review application logs for unusual outbound requests to local or reserved IP addresses. Look for patterns that suggest an attacker is attempting to bypass SSRF protection.

1. 2025-03-23Disclosure

   disclosure

1. Gereserveerd2025-03-23
2. Gepubliceerd2025-03-23
3. Gewijzigd2025-09-26
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2025-2691 is het upgraden van het nossrf package naar versie 1.0.4 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van een Web Application Firewall (WAF) of proxy die SSRF-aanvallen kan detecteren en blokkeren. Configureer de WAF om requests met verdachte hostnamen of IP-adressen te filteren. Controleer ook de configuratie van nossrf om te verzekeren dat de juiste beperkingen zijn ingesteld om interne resources te beschermen. Na de upgrade, verifieer de fix door te proberen een request te sturen naar een lokaal IP-adres en controleer of deze wordt geblokkeerd.