30秒で判断
対応すべき人:
- Axios 1.16.0未満（または 0.32.0未満）を使用している
NO_PROXY環境変数やno_proxy設定でIPv4アドレスをブロックリストに登録している- 内部サービス（メタデータサービス等）へのアクセスをNO_PROXYで制限している
対応不要な人:
- Axios 1.16.0以降または 0.32.0以降を使用している
- NO_PROXYを使用していない
- ブラウザ環境のみで使用している（Node.js HTTPアダプター経由ではない）
確認コマンド:
npm list axios
概要
Axios 1.16.0未満において、NO_PROXY（またはNode.jsのno_proxy）にIPv4アドレス（127.0.0.1、169.254.169.254等）を指定してプロキシをバイパスする設定をしていても、IPv4マップドIPv6形式（::ffff:7f00:1、::ffff:a9fe:a9fe）を使用したリクエストURLでは設定が効かず、プロキシ経由でリクエストが送信されてしまいます。
Node.jsはこれらのIPv4マップドIPv6アドレスを対応するIPv4ホストとして解決するため、攻撃者が制御するプロキシ経由で内部サービスにアクセスできます。
典型的な攻撃シナリオ:
クラウド環境のメタデータサービス（169.254.169.254）をNO_PROXYで除外している場合、::ffff:a9fe:a9feでアクセスするとプロキシ経由でメタデータにアクセスできてしまいます（SSRF）。
関連するCVE-2026-44494（Prototype PollutionによるMITM）と同じく、axios 1.16.0で修正されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 8.6 |
| 深刻度 | High |
| CWE | CWE-918（SSRF）、CWE-289（認証バイパス） |
| 攻撃元区分 | ネットワーク (AV:N) |
| 攻撃条件の複雑さ | 低 (AC:L) |
| 必要な特権レベル | 不要 (PR:N) |
| ユーザー関与 | 不要 (UI:N) |
| 機密性への影響 | 高 (C:H) |
| 完全性への影響 | 低 (I:L) |
| 可用性への影響 | 低 (A:L) |
影響を受けるソフトウェア
| 製品 | 影響バージョン | 修正バージョン |
|---|---|---|
| axios（npm） | 0.x〜0.31.x | 0.32.0以降 |
| axios（npm） | 1.0.0〜1.15.x | 1.16.0以降 |
修正バージョンと回避策
推奨対応: axios 1.16.0以降または 0.32.0以降へアップデート
npm install axios@latest
# または特定バージョン指定
npm install axios@1.16.0
関連リンク
データソース: NVD (NIST), GitHub Advisory Database
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。