FixVibe
Covered by FixVibehigh

Su'esu'ega Fa'aletonu: SSRF ma le Puipuia Ulutala Tausi.

O lenei su'esu'ega su'esu'ega e su'esu'e ai le Server-Side Request Forgery (SSRF) ma le taua o le tausisia o ulutala saogalemu HTTP. Fa'aaogā fa'amatalaga mai PortSwigger ma Mozilla, matou te su'esu'e ai pe fa'apefea ona fa'ailoa mai e le su'esu'e otometi nei fa'aletonu ma pe fa'apefea fo'i ona fa'atino e le FixVibe le fa'atinoina o mea e mafai ona iloa.

CWE-918

Aafiaga

Talosaga Talosaga Itu Tuʻu (SSRF) ose faʻafitauli matuia e mafai ai e le tagata osofaʻi ona faʻaosofia se talosaga i le itu-aumau e fai ai talosaga i se nofoaga e leʻi mafaufauina [S1]. E mafai ona o'o atu ai i le fa'aaliaina o au'aunaga ma'ale'ale i totonu, avanoa e le'i fa'atagaina i fa'ai'uga o metadata ao, po'o le fa'aaloa'i o puipui o feso'ota'iga [S1].

Mafua'aga

SSRF e masani lava ona tupu pe a faʻagasolo e se talosaga URL e tuʻuina atu e le tagata e aunoa ma se faʻamaoniga talafeagai, faʻatagaina le server e faʻaaogaina e fai ma sui mo talosaga leaga [S1]. I tua atu o fa'aletonu gaogao, o le tulaga lautele o le saogalemu o se saite e matua'i a'afia i ana fa'auluuluga HTTP [S2]. Fa'alauiloa i le 2016, Mozilla's HTTP Observatory ua su'esu'eina le silia ma le 6.9 miliona 'upega tafa'ilagi e fesoasoani ai i le pulega e fa'amalosia a latou puipuiga mai nei fa'amata'u masani e ala i le fa'ailoaina ma le fa'atalanoaina o fa'afitauli tau le saogalemu [S2].

Fa'afefea ona su'e le FixVibe

FixVibe ua uma ona aofia uma vaega uma o lenei autu suʻesuʻe:

  • Gated SSRF fa'amaoniga: active.blind-ssrf e na'o totonu lava o su'esu'ega fa'amaonia fa'amaonia. Na te auina atu ta'oto'o i fafo-o-band callback canaries i URL-foliga fa'ata'ita'iga ma SSRF-talafeagai ulutala na maua i le tolotolo, ona lipotia lea o le mataupu pe a maua e FixVibe se toe valaau e saisai i lena scan.
  • Usi ulu: headers.security-headers siaki fa'auluuluga tali a le 'upega tafa'ilagi mo fa'atonuga fa'amalosi su'esu'e tutusa e fa'amamafaina e le Observatory-style iloiloga, e aofia ai le CSP, HSTS-Option, X-FXCV-Option, X-FXCV, X-FXCVFIXVIBETOKEN1ZXCV Fa'atonu-Faiga, ma Fa'atagaga-Faiga.

Ole su'esu'ega SSRF e le mana'omia ni talosaga fa'aleagaina po'o le fa'amaoniaina ole avanoa. O lo'o va'aia i sini fa'amaonia ma lipotia fa'amaoniga mautu o le toe fo'i mai nai lo le matemate mai na'o igoa fa'amau.