Sunucu taraflı istek sahteciliği (ARCH6104)

Anahtar ruby.security.ssrf · Önem warning · Kategori security · CWE CWE-918

Kullanıcının sağladığı bir URL’ye doğrulamadan giden istek yapmak, saldırganların sunucuyu dahili servislere veya bulut metadata uç noktalarına istek atmaya zorlamasına olanak tanır.

Hatalı

def fetch(url)
  Net::HTTP.get(URI(url))
end

Doğru

ALLOWED = %w[api.partner.com cdn.partner.com].freeze

def fetch(url)
  uri = URI(url)
  raise "blocked host" unless ALLOWED.include?(uri.host)
  Net::HTTP.get(uri)
end

Düzeltme

Giden URL’leri bir izin listesine göre doğrulayın; özel IP aralıklarını ve metadata uç noktalarını engelleyin.