Thema: ssrf
-
Cloud-Instance-Metadata-Endpunkte: warum IMDSv2-Token und ein Hop-Limit von 1 SSRF entschärfen
Cloud-VMs stellen einen link-lokalen Metadata-Dienst bereit, der temporäre Zugangsdaten für die Rolle der Instanz liefern kann. Eine Server-Side-Request-Forgery-Schwachstelle oder das Fetch-Werkzeug eines Agenten kann ihn erreichen. Bei AWS beseitigt das Erzwingen von IMDSv2-Sitzungstoken und ein auf 1 belassenes Hop-Limit der PUT-Antwort die einfachsten Zugriffswege.
-
URLs gegen eine SSRF-Richtlinie validieren
Einen Agenten-Fetcher beim Parsen, bei der DNS-Auflösung, bei Weiterleitungen und beim Netzwerkausgang einschränken, damit eine freigegebene URL nicht unbemerkt einen internen Dienst als Ziel hat.
Maschinenlesbar: JSON