Vulnerabilidade SSRF em txtdot na /get

A exploração bem-sucedida desta vulnerabilidade SSRF permite que um atacante utilize o servidor txtdot como um ponto de acesso para a rede interna. Isso possibilita a coleta de informações sensíveis de serviços internos que não são expostos diretamente à internet. Um atacante pode, por exemplo, escanear a rede interna em busca de serviços vulneráveis, realizar ataques de força bruta contra serviços de autenticação ou até mesmo comprometer outros sistemas. A falta de proteção adequada pode levar a um aumento significativo do raio de impacto de um ataque, permitindo que um invasor se mova lateralmente dentro da infraestrutura.

Organizations running txtdot versions prior to 1.7.0, particularly those with sensitive internal resources accessible via HTTP, are at risk. Shared hosting environments where txtdot is deployed alongside other applications could also be vulnerable, as an attacker could potentially exploit the SSRF vulnerability to access resources belonging to other tenants.

• nodejs / server:

  ps aux | grep txtdot

• nodejs / server:

  journalctl -u txtdot --since "1 hour ago"

• generic web:

  curl -I http://<txtdot_server>/get?url=http://internal_resource

• generic web: Review access logs for unusual outbound requests originating from the txtdot server's IP address.

1. 2024-07-26Disclosure

   disclosure

1. Reservado2024-07-22
2. Publicada2024-07-26
3. Modificada2024-08-02
4. EPSS atualizado2026-04-02

A mitigação primária para esta vulnerabilidade é a atualização para a versão 1.7.0 do txtdot, que impede a exibição da resposta das requisições forjadas. No entanto, como a versão 1.7.0 não impede o envio das requisições, é crucial implementar uma camada adicional de segurança. A recomendação é a utilização de um firewall entre o servidor txtdot e outros recursos da rede interna, restringindo o acesso apenas aos serviços necessários. Além disso, revise as configurações de rede para garantir que não haja rotas desnecessárias que permitam o acesso a recursos internos a partir da internet. Após a atualização, confirme a mitigação verificando se o txtdot não consegue mais acessar recursos internos não autorizados.