SSRF Patch Guide: Mitigating DNS Rebinding and IPv6 Bypass in Network Helper

漏洞概述 该网页截图描述了一个关于关闭剩余SSRF（服务器端请求伪造）漏洞的修复工作，具体涉及DNS重绑定、IPv6过渡和bail机制。这些漏洞在v9.7.0版本中未被覆盖，属于与已发布漏洞相同的安全威胁类别。 影响范围 DNS重绑定：高优先级漏洞，涉及验证器DNS查找和HTTP客户端连接时间解析之间的TOCTOU（时间检查到使用）问题。 IPv6过渡包装器：中等优先级漏洞，涉及内部IPv4绕过过滤器的问题。 电台URL规则缺少bail：中等优先级漏洞，导致HasAudioContentType仍探测URL后被SafeHttp拒绝。 修复方案 1. 网络助手（Network Helper） - 新增 方法，拒绝私有IP地址，并检查已知前缀。 - 新增 方法，解析主机到公共IP，用于DNS固定。 - 委托给 ，避免重复DNS代码。 - 添加 注释，说明SSRF守卫具有固有的主机形状分支，进一步拆分可能破坏安全故事。 2. SafeHttp - 返回包含重定向验证和 的HTTP选项，固定URL主机到验证的IP。 - 返回带有相同固定预加载的Guzzle客户端，用于接受被拒绝客户端并知道目标URL的库。 - 和 （从v9.7.0起）保持不变，供没有URL前置的调用者使用。 3. 消费者迁移到固定变体 - 更新 规则（包括HEAD/GET探测）、 规则、 、 等，使用固定客户端。 4. 容器绑定移除 - 移除 的v9.7.0绑定，改为按URL构造固定客户端。 5. bail关键字添加到URLStream规则数组中 - 更新 、 、 、 、 等规则，添加bail关键字。 测试 NetworkTest：测试 返回公共主机/字面量的IP，对私有/不可解析的主机返回null。 SafeHttpTest：测试 发出 ，跳过IP字面量，对私有IP抛出 异常。 RadioStationTest：测试创建和更新互联网电台时，使用 关键字防止重定向到恶意URL。 FakeNetworkTest：测试 模拟现有 存根，合成测试IP，无需真实DNS。 测试计划 重现每个v9.7.0之前的PoC（漏洞利用代码），验证漏洞已被阻止。 测试DNS重绑定、IPv6过渡和bail机制的修复效果。 进行回归测试，确保修复不影响现有功能。 代码示例 总结 该修复工作通过增强网络助手、SafeHttp和消费者迁移到固定变体，解决了DNS重绑定、IPv6过渡和bail机制相关的SSRF漏洞，确保系统安全性得到提升。

目標達成すべての支援者に感謝 — 100%達成しました！

SSRF Patch Guide: Mitigating DNS Rebinding and IPv6 Bypass in Network Helper

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

SSRF Patch Guide: Mitigating DNS Rebinding and IPv6 Bypass in Network Helper

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！