SSRF Schwachstelle in NextJs gefunden

Die Forscher von Assetnote haben eine SSRF Schwachstelle in der Bildoptimierungskomponente von NextJS gefunden, das standardmäßig aktiviert ist. Über eine fehlerhafte Konfiguration der remotePatterns in der next.config.js Datei könnte eine Blind-Side-Request-Forgery (SSRF)-Attacke ermöglicht werden. Angreifer könnten dadurch beliebige lokale URLs laden:

https://beispiel.com/_next/image?url=https://localhost:2345/api/v1/x&w=256&q=75

Die Schwachstelle CVE-2024-34351 wurde F5 gemeldet, und das Unternehmen hat bereits einen Patch dazu bereitgestellt. Ein Github Advisory zur Schwachstelle bewertet diese mit dem CVSS Score von 7.5 / 10. Node.js Betreiber werden dringend aufgefordert, auf die neuste Version zu aktualisieren, denn eine Serverseitige Anforderungsfälschung (SSRF) stellt eine erhebliche Sicherheitsbedrohung dar, da sie es einem Angreifer ermöglicht, Anfragen von einem verwundbaren Server aus zu senden. Dies kann dazu führen, dass der Angreifer auf interne Dienste zugreift, die vom Internet aus nicht erreichbar sind. Die Risiken einer SSRF können vielfältig sein und schwerwiegende Folgen haben:

1. Umgehung von Firewalls: SSRF kann dazu verwendet werden, Firewalls zu umgehen, indem interne Systeme, die hinter diesen Schutzschichten verborgen sind, angesprochen werden.
2. Zugriff auf interne Dienste: Ein Angreifer könnte interne Dienste erreichen und interagieren, die nur innerhalb des internen Netzwerks des Unternehmens zugänglich sind. Dazu gehören Datenbanken, Management-Schnittstellen, und andere kritische Infrastrukturen.
3. Datenexfiltration: Durch das Ausnutzen von SSRF-Schwachstellen können sensible Informationen abgerufen oder gestohlen werden, indem interne APIs und Datenbanken abgefragt werden, die sensible Daten enthalten.
4. Netzwerk-Scans: Ein Angreifer kann SSRF verwenden, um das interne Netzwerk zu scannen, Dienste zu identifizieren und weitere Schwachstellen innerhalb des Netzwerks aufzudecken.
5. Erhöhung der Privilegien: SSRF kann dazu führen, dass ein Angreifer höhere Privilegien im Netzwerk erlangt, besonders wenn die SSRF-Schwachstelle es ihm erlaubt, als ein anderer interner Dienst zu agieren.
6. Denial-of-Service-Angriffe: SSRF kann benutzt werden, um interne Systeme zu überlasten und Dienstausfälle zu verursachen, was die Verfügbarkeit kritischer Anwendungen und Dienste beeinträchtigen kann.
7. Remote Code Execution: In einigen Fällen kann SSRF dazu führen, dass unsichere interne Dienste ausgenutzt werden, die es ermöglichen, beliebigen Code auf dem Server auszuführen.