注目★★★★★GitHub Advisory
ip-address 10.5.0以前、NAT64経由のSSRF判定を回避
30秒で把握
- 1ip-address 10.2.0〜10.5.0がNAT64範囲を外部扱い
- 264:ff9b:1::/48で127.0.0.1や169.254.169.254を表現可能
- 3修正版へ更新または範囲を直接遮断しSSRF対策を補強
要約
ip-address 10.2.0〜10.5.0は、NAT64のローカル用途範囲64:ff9b:1::/48をisPrivate()などで分類できず、内部宛先を外部アドレスとして許可する。127.0.0.1や169.254.169.254を表すアドレスもisValid()を通過し、SSRF対策の信頼境界を回避できる。影響を受けるのは、サーバー側ネットワークがこの範囲内のNAT64変換器を使い、攻撃者がプレフィックス長を推測または把握できる場合である。修正版では範囲全体をisPrivate()で検出する。更新できない場合は64:ff9b:1::/48との直接照合が必要だが、DNS再バインディングやリダイレクトを含む完全なSSRF対策も別途必要になる。
あなたへの影響
ip-address 10.2.0〜10.5.0をSSRF対策に使う日本の開発チームは、修正版への更新または64:ff9b:1::/48の直接遮断を実施してください。
推奨：アドレス分類だけでは不十分なため、接続先IPの再検証、DNS再バインディング、リダイレクトも確認すべきです。