注目★★★★★GitHub Advisory
fast-uri にホスト検証の迂回脆弱性、バックスラッシュで異なるドメインに到達
30秒で把握
- 1fast-uri v4.1.1 以前で URI 権限判定の解析ズレ脆弱性、バックスラッシュで WHATWG URL と異なるホスト判定
- 2SSRF・リダイレクト・ホストフィルタを迂回され意図しないホストへ到達、ポリシー検証の信頼性が崩壊
- 3v4.1.2・v3.1.5・v2.4.4 へのアップグレード必須、パッチ版リリース済み・回避策なし
要約
fast-uri v4.1.1 以前に、URI 権限判定の解析ズレ脆弱性が存在する。バックスラッシュ (`\`)、`/\`、`\/` をスキーム後の権限区切りに使用した場合、fast-uri は権限なしと判定してパスに畳み込むが、Node.js ネイティブ WHATWG URL (fetch / undici / http/https クライアント) はバックスラッシュをスラッシュと同等に扱うため、同じ入力から異なるホストを抽出する。例えば `\\evil.com/path` は fast-uri では信頼ホストに留まるが、WHATWG URL では `evil.com` に到達する。ホストベースのポリシー (許可リスト・ブロックリスト・SSRF フィルタ・リダイレクト検証) を fast-uri で実施後、同じ URL を Node.js URL や fetch() に渡すアプリケーションは検証を迂回され、意図しないホストに到達する可能性がある。v4.1.2・v3.1.5・v2.4.4 へのアップグレードで対応。
あなたへの影響
fast-uri でホストベースのセキュリティ制御 (許可リスト・SSRF フィルタ) を実装している場合は。
推奨：本脆弱性の対象バージョンを確認し、直ちにアップグレード対象版 (v4.1.2・v3.1.5・v2.4.4) への更新を検討すべき。