CVE-2026-30832

概要

Soft Serve は Charmbracelet が 開発 する セルフホスト型 の Git サーバー です。バージョン 0.11.4 より 前 に おいて、認証済み の SSH ユーザー が 細工 された --lfs-endpoint URL を 使用 して サーバー に 内部・プライベート IP アドレス へ の HTTP リクエスト を 強制 させる SSRF（Server-Side Request Forgery）脆弱性 が 存在 します。

CWE-918（サーバーサイドリクエストフォージェリ）に 分類 される この 脆弱性 に より、攻撃者 は 内部 ネットワーク の サービス に アクセス し、メタデータ サービス や 管理 API から 機密 情報 を 取得 する 可能性 が あります。クラウド 環境 で は 特に 深刻 な リスク と なります。

Soft Serve を 運用 して いる 環境 で は、バージョン 0.11.4 以降 へ の アップデート が 推奨 されます。

CVSSベクトル

影響を受けるソフトウェア

修正バージョンと回避策

• 修正バージョン: Soft Serve 0.11.4 以降 へ の アップデート
• 暫定回避策: Git LFS 機能 の 一時的 な 無効化。ネットワーク レベル で サーバー から 内部 IP へ の 送信 リクエスト を 制限 する

関連リンク

• NVD

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。