Impacto
La falsificación de solicitudes del lado del servidor (SSRF) es una vulnerabilidad crítica que permite a un atacante inducir a una aplicación del lado del servidor a realizar solicitudes a una ubicación no deseada [S1]. Esto puede provocar la exposición de servicios internos confidenciales, el acceso no autorizado a puntos finales de metadatos en la nube o la elusión de firewalls de red [S1].
Causa raíz
SSRF normalmente ocurre cuando una aplicación procesa URL proporcionadas por el usuario sin una validación adecuada, lo que permite que el servidor se utilice como proxy para solicitudes maliciosas [S1]. Más allá de las fallas activas, la postura de seguridad general de un sitio está fuertemente influenciada por las configuraciones de su encabezado HTTP [S2]. Lanzado en 2016, el Observatorio HTTP de Mozilla ha analizado más de 6,9 millones de sitios web para ayudar a los administradores a fortalecer sus defensas contra estas amenazas comunes identificando y abordando posibles vulnerabilidades de seguridad [S2].
Cómo lo prueba FixVibe
FixVibe ya cubre ambas partes de este tema de investigación:
- Confirmación cerrada de SSRF:
active.blind-ssrfse ejecuta solo dentro de análisis activos verificados. Envía canarios de devolución de llamada fuera de banda acotados a parámetros en forma de URL y encabezados relevantes para SSRF descubiertos durante el rastreo, luego informa el problema solo cuando FixVibe recibe una devolución de llamada vinculada a ese escaneo. - Cumplimiento del encabezado:
headers.security-headersverifica pasivamente los encabezados de respuesta del sitio para los mismos controles de refuerzo del navegador enfatizados por las revisiones de estilo Observatorio, incluidos CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Política de permisos.
La sonda SSRF no requiere solicitudes destructivas ni acceso autenticado. Está dirigido a objetivos verificados e informa evidencia de devolución de llamada concreta en lugar de adivinar únicamente a partir de los nombres de los parámetros.