注目★★★★★GitHub Advisory
GeoNode 4.4.5/5.0.2 以前にSSRF脆弱性
要約
GeoNodeのバージョン4.4.5および5.0.2以前に、サービス登録エンドポイントにSSRF（サーバーサイドリクエストフォージェリ）脆弱性が確認された。認証済み攻撃者がフォーム検証時に細工したサービスURLを送信することで、任意URLへの外部ネットワークリクエストを発生させられる。WMSサービスハンドラのURL検証が不十分で、プライベートIPフィルタリングやallowlistが未実装のため、内部ネットワークやクラウドメタデータサービスへの探索が可能となる。
あなたへの影響
GeoNodeを社内や本番環境で運用しているチームは、該当バージョンを確認しパッチ適用を検討すること。
推奨：即時対応が必要な重大度ではないが、内部ネットワーク探索リスクを考慮し、外部公開環境では早めに対処したい。