概要
trueleaf ApiFlow バージョン 0.9.7 に おいて、validateUrlSecurity 関数 に SSRF（Server-Side Request Forgery、CWE-918）の 脆弱性 が 存在 します。
URL の セキュリティ 検証 機能 が 不十分 な ため、攻撃者 は 細工 した URL を 指定 する こと で、サーバー 側 から 内部 ネットワーク の リソース に アクセス させる こと が 可能 です。
SSRF に より、クラウド メタデータ の 取得、内部 サービス へ の アクセス、ファイアウォール の バイパス など が 行われる 危険性 が あります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.3 (High) |
| 攻撃元 | ネットワーク |
| 攻撃条件 | 低 |
| 認証 | 不要 |
| CWE | CWE-918 (Server-Side Request Forgery) |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| ApiFlow | trueleaf | 0.9.7 |
修正バージョンと回避策
- 修正バージョン: 修正 バージョン の 提供 状況 を 確認 して ください
- 暫定回避策: サーバー 側 の アウトバウンド 通信 を 制限 する。内部 ネットワーク アドレス（127.0.0.1、169.254.169.254、10.0.0.0/8 等）へ の リクエスト を ブロック する
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説 は Claude API に より 自動生成 されています。正確性 に ついては 原文 を ご確認 ください。