Технологии15 ноября 2026 · 1 мин 0

Уязвимость в Go-библиотеке netip.Prefix.Contains позволяла обходить SSRF-защиту

Недавно обнаруженная уязвимость в стандартной библиотеке Go, `netip.Prefix.Contains`, позволяла обходить защиту от атак Server-Side Request Forgery (SSRF) и получать доступ к внутренним сетевым ресурсам через IPv6-адреса с указанием зоны.

Проблема проявляется, когда функция `netip.Prefix.Contains` используется для фильтрации запросов, направленных к внутренним сервисам. Хотя напрямую заблокированные адреса, такие как `[::]`, отклонялись, добавление идентификатора зоны, например `[::%251]`, позволяло обходить этот фильтр. Это происходило из-за особенностей обработки IPv6-адресов с зонами функцией `netip.Prefix.Contains` и методом `IsUnspecified` в Go.

Часто задаваемые вопросы

В чём заключается уязвимость в Go-библиотеке netip.Prefix.Contains?

Уязвимость позволяет обходить защиту от Server-Side Request Forgery (SSRF) атак, используя IPv6-адреса с указанием зоны (например, `[::%251]`), которые ошибочно пропускаются фильтрами, хотя базовые адреса (например, `[::]`) блокируются.

Какие приложения могут быть затронуты этой уязвимостью?

Потенциально затронуты любые сервисы и приложения, разработанные на Go, которые используют `netip.Prefix.Contains` или схожие механизмы для фильтрации внутренних запросов, в особенности те, что обрабатывают вебхуки и предпросмотр ссылок.

Как можно исправить или предотвратить эту уязвимость?

Для исправления уязвимости необходимо пересмотреть логику валидации сетевых адресов, чтобы корректно обрабатывать и блокировать нежелательные IPv6-адреса с зонами. Разработчикам рекомендуется обновить библиотеки Go и убедиться, что фильтры безопасности учитывают этот сценарий.

Что такое SSRF-атака?

SSRF (Server-Side Request Forgery) — это тип атаки, при котором злоумышленник заставляет сервер отправлять запросы на несанкционированные адреса от имени сервера, что может привести к утечке данных или доступу к внутренним ресурсам.

Уязвимость в Go-библиотеке netip.Prefix.Contains позволяла обходить SSRF-защиту

Комментарии (0)

Ещё новости

Пуховик из Циндао стал хитом продаж в китайских магазинах Sam's Club

ETF на биотехнологии от E Fund расширяет список первичных дилеров

Страны АСЕАН подписали соглашение о цифровой экономике в Маниле

Часто задаваемые вопросы