curl_cffi: Redirect-based SSRF leva ao acesso à rede interna em curl_cffi (com bypass de personificação TLS)

Um atacante pode explorar esta vulnerabilidade para acessar recursos internos que normalmente não são acessíveis externamente. Ao manipular URLs, o atacante pode forçar o aplicativo a fazer requisições para endpoints de metadados de nuvem, bancos de dados internos ou outros serviços sensíveis. A funcionalidade de TLS impersonation do curl-cffi pode mascarar essas requisições, fazendo-as parecer como tráfego legítimo de um navegador, o que dificulta a detecção e prevenção. O potencial de impacto inclui a exfiltração de dados confidenciais, a escalada de privilégios e o comprometimento de sistemas internos.

Applications and services that rely on the curl-cffi Python library for making HTTP requests are at risk. This includes web applications, automation scripts, and any other Python-based tools that utilize curl-cffi. Specifically, environments where curl-cffi is used to interact with cloud metadata endpoints or other internal services are particularly vulnerable.

• python / library:

import subprocess
result = subprocess.run(['pip', 'show', 'curl-cffi'], capture_output=True, text=True)
if 'Version:' in result.stdout:
    version = result.stdout.split('Version:')[1].strip().split('\n')[0]
    if version <= '0.9.0b2':
        print('Vulnerable version of curl-cffi detected!')

• generic web:

curl -I https://your-application-url/ | grep -i 'Server:'

• generic web:

curl -I https://your-application-url/ | grep -i 'X-Powered-By:'

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-03-23
2. Publicada2026-04-03
3. Modificada2026-04-06
4. EPSS atualizado2026-04-14

A mitigação primária é atualizar a biblioteca curl-cffi para a versão 0.15.0 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar regras de firewall ou proxy para restringir o acesso a endpoints internos. Além disso, desative a funcionalidade de TLS impersonation, pois ela pode facilitar a exploração. Monitore logs de rede e de aplicação em busca de requisições suspeitas para endpoints internos. Após a atualização, confirme a correção verificando a versão da biblioteca e realizando testes de penetração para garantir que a vulnerabilidade foi efetivamente mitigada.