Sunucu taraflı istek sahteciliği (ARCH4104)

Anahtar java.security.ssrf · Önem warning · Kategori security · CWE CWE-918

Kullanıcı tarafından sağlanan bir URL’ye doğrulamadan giden istek yapmak, saldırganların sunucuyu dahili servislere, bulut metadata uç noktalarına veya yerel kaynaklara istek atmaya zorlamasına olanak tanır.

Hatalı

String url = request.getParameter("url");
HttpRequest req = HttpRequest.newBuilder(URI.create(url)).build();
client.send(req, BodyHandlers.ofString());

Doğru

URI uri = URI.create(request.getParameter("url"));
if (!ALLOWED_HOSTS.contains(uri.getHost()))
    throw new SecurityException();
HttpRequest req = HttpRequest.newBuilder(uri).build();
client.send(req, BodyHandlers.ofString());

Düzeltme

Giden istek URL’lerini bir izin listesine göre doğrulayın; özel IP aralıklarını ve metadata uç noktalarını engelleyin.