Go net/http SSRF & Host Header Override via Unvalidated Absolute Path

脆弱性要約：未検証の絶対パスリクエストターゲットによるホストヘッダー上書き 脆弱性概要 脆弱性タイプ：HTTP ヘッダー注入 / ホストヘッダー上書き（Host Header Injection / Host Header Override） 根本原因： フィールドに未検証の絶対パス（例： ）を使用することで、Go の ライブラリがリクエストを構築する際、その絶対パス内のホスト名を ヘッダーとして設定し、セキュリティ制御を迂回してしまう。 影響メカニズム：攻撃者は悪意のあるリクエストを構築し、サーバーから任意のサードパーティドメインへのリクエストを発行させたり、 ヘッダーを偽造して、ホストベースのアクセス制御、ログ記録、キャッシュポリシーなどを迂回させることができる。 発火条件： - Go 標準ライブラリ を使用してリクエストを発行する； - が絶対 URI を含む（例： ）； - に対してホワイトリストによる検証や正規化が行われていない。 影響範囲 影響を受けるコンポーネント： - Go 言語標準ライブラリ （すべてのバージョン。この動作は RFC 7230 で定義されているため）； - または を使用し、 の検証を行っていない Go アプリケーション； - リバースプロキシ、API ゲートウェイ、マイクロサービス間の通信などのシナリオ。 潜在的なリスク： - サーバーサイドリクエストフォージェリ（SSRF）； - キャッシュポイズニング； - ログ汚染； - ホストベースのアクセス制御の迂回； - 中間者攻撃の支援。 修復対策 推奨手法： 1. 絶対パスの禁止： を解析する前に、スキーム（例： または ）が含まれているかを確認し、存在する場合に拒否またはリダイレクトする。 2. 相対パスの強制： が相対パスのみ（例： ）であることを保証する。 3. ホストヘッダーの明示的設定：リクエスト作成時に、 ヘッダーを期待される値に手動で設定し、絶対パスによって引き起こされる可能性のある誤った値を上書きする。 4. の と 制御の利用：リダイレクトとプロキシの動作を制限する。 5. 入力検証：ユーザーが制御可能なすべての URL パラメータに対して、厳格なホワイトリストフィルタリングを適用する。 コード例（修復前 vs 修復後）： 追加の推奨事項： - リバースプロキシでは、 またはカスタムミドルウェアを使用してパスを処理する； - の と を有効にしてセキュリティを強化する； - ログ中の異常な ヘッダー値を監視する。 POC / 悪用コード（完全抽出） > 注：この POC は、Go 標準ライブラリが絶対パス に遭遇した場合、自動的にそのパス内のホスト名を ヘッダーとして設定し、セキュリティ制御を迂回することを示しています。 参考リンク CVE-2023-39325（関連脆弱性番号） Go 公式ドキュメント：https://pkg.go.dev/net/http RFC 7230 Section 5.3.1（Request Target 仕様） OWASP SSRF ガイド：https://owasp.org/www-project-web-security-testing-guide/latest/4-Web_Application_Security_Testing/11-Client_Side_Testing/05-Testing_for_Server_Side_Request_Forgery --- ✅ 修復の核心：ユーザー入力として提供される を決して信頼せず、必ず相対パスに強制し、 ヘッダーを明示的に設定すること。

目標達成すべての支援者に感謝 — 100%達成しました！

Go net/http SSRF & Host Header Override via Unvalidated Absolute Path

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Go net/http SSRF & Host Header Override via Unvalidated Absolute Path

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！