Валидатор URL-адреса веб-перехватчика в `website/notifications/webhooks.py` использует
`ip.is_global` для отклонения закрытых адресов после разрешения DNS. IPv6
адреса перехода (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo
`2001:0000::/32`) классифицируются IANA как глобально маршрутизируемые, поэтому `is_global`
возвращает True, даже если встроенный IPv4 предназначен для частного, кольцевого или
Место назначения облачных метаданных. Злоумышленник может зарегистрировать вебхук, указывающий на
имя хоста, которое преобразуется в адрес перехода для обхода защиты SSRF и
экспортировать данные об уязвимостях во внутреннюю конечную точку.
Уязвимость была обнаружена в нерелизной версии. Исправление уже сделано в HEAD. Это влияет только
организация, возглавляющая ГОЛОВНУ.
Показать оригинальное описание (EN)
The webhook URL validator in `website/notifications/webhooks.py` uses `ip.is_global` to reject non-public addresses after DNS resolution. IPv6 transition addresses (NAT64 `64:ff9b::/96`, 6to4 `2002::/16`, Teredo `2001:0000::/32`) are classified as globally routable by IANA, so `is_global` returns `True` even when the embedded IPv4 targets a private, loopback, or cloud metadata destination. An attacker can register a webhook pointing at a hostname that resolves to a transition address to bypass the SSRF guard and exfiltrate vulnerability data to an internal endpoint. The vulnerability was introduced on a non-release version. The fix was already done on HEAD. It only affects organisation running the HEAD.
Характеристики атаки
Последствия
Строка CVSS v4.0