JoeCyberTech

IPv6 SSRF 許可リストバイパス — ループバック、ULA、リンクローカル、IPv4 マップド、NAT64 を含むすべての IPv6 アドレス種別が dssrf ライブラリの is_url_safe() チェックを回避し、サーバーサイドリクエストフォージェリ（SSRF）を可能にしました。dssrf 1.0.3 で修正。

SSRF バイパス（1.0.3 の修正不完全） — 最新版（1.0.3）でも SSRF 防御を回避し、すべての内部 IPv4 レンジ、IPv6 ループバック/ULA/リンクローカル、AWS インスタンスメタデータ（169.254.169.254）、および userinfo（user@host）プレフィックスによる任意の内部ホストへ到達可能。この経路は GHSA-8p33-q827-ghj5 の修正で対応されておらず、1.0.3 の更新が必要です。

1.1.1.1 DNS 経由のローカルホスト SSRF — DNS リゾルバに 1.1.1.1 を使用している場合、リゾルバが localhost クエリに NXDOMAIN を返すため、dssrf が localhost URL を安全と誤判定し、ローカルリソースへの到達（SSRF）を許します。1.0.4 以前が影響を受け、1.0.5 で修正。

ネットワーク露出した ADB — Allwinner H616「TV98」TV ボックスが、本番環境で Android Debug Bridge を有効化しネットワーク上に露出。ADB 認可を取得した攻撃者はルート権限アクセスを得られます。CISA により公開。

HTTP/2 セッションのクラッシュ（DoS） — axios の Node.js HTTP/2 アダプタが ClientHttp2Session に「error」ハンドラを登録していなかったため、悪意ある・到達不能な・HTTP/2 非対応のエンドポイントによって未捕捉例外が発生し、リクエストが reject されるのではなく Node.js プロセス全体が終了しました。httpVersion: 2 を使う axios 1.13.0 以降に影響。1.20.0 で修正。

XML 属性値バイパス — CRS が XML 属性値を検査しないため、属性内（例：javascript: URI）に配置されたペイロードが検知を回避できました。全パラノイアレベルで 9 つのルールファミリー・約 159 ルールに影響。CRS メンテナーにより修正。

パラメータ名の大文字小文字による charset 許可リストバイパス — ルール 920480 は Content-Type ヘッダの小文字の「charset」パラメータにしか一致しなかったため、「CHARSET=utf-7」や大文字小文字を混在させた表記で PL1/PL2 の charset 許可リストを完全に回避でき、UTF-7 や EBCDIC によるエンコーディング回避が他のルールに対して再び可能になりました。CRS v4 の全リリースに影響。4.30.0 および 4.25.2（LTS）で修正。

.localhost TLD による SSRF バイパス — 以前の SSRF 修正（GHSA-xw57-23p8-9wc5）のバイパスです。予約済み TLD「.localhost」配下のホスト名（例：a.localhost）が specifyjs の外部リクエスト防御をすり抜けつつループバックに解決されるため、攻撃者が指定した URL から内部サービスへ到達できました。@asymmetric-effort/specifyjs 1.0.x 以前に影響。

ファイル拡張子の空白バイパス — ファイル名に空白を挿入する（例：「shell. php」）ことで、拡張子チェック前に空白を正規化しないアップロード検知ルールを回避できました。CRS 3.3.9 および 4.25.0 で修正。

アーカイブ展開時のパストラバーサル（Zip Slip） — SharpCompress 0.47.4 以前の IArchive.WriteToDirectory() では、悪意あるアーカイブが展開先ルートの外側にディレクトリを作成できました。TAR のシンボリックリンクエントリと組み合わせると、プロセス権限の範囲で任意ファイル書き込みに発展します。0.48.0 で修正。

Generate Lorem Ipsum によるサービス拒否（DoS） — Generate Lorem Ipsum 操作が Length パラメータの上限を検証していなかったため、細工したレシピでリソースを枯渇させ、ブラウザタブをクラッシュさせたり、CyberChef を Node バックエンドとして運用している場合はプロセス全体を停止させたりできました。CyberChef 11.1.1 未満（npm および Docker イメージ）に影響。11.1.1 で修正。

install：機密ファイルの露出とハードリンク競合 — install -D が使う fd ベースのコピー処理が、コピー先をモード 0666・O_EXCL なしで作成していたため、-m 600 でインストールするファイルがコピー中に他のローカルユーザーから読み取れ、事前に仕込んだハードリンクで特権書き込みを別ファイルへ誘導することも可能でした。coreutils 0.11.0 以前に影響。0.12.0 で修正。

Cookie パーサの解釈不一致（WAF バイパス） — Coraza の Cookie パーサはスペースとタブしか除去しなかったため、「=」に隣接する制御文字（例：a\v=\t'）が Cookie 名や値に残る一方、PHP や Python の http.cookies はこれを除去します。WAF とバックエンドが異なる Cookie を認識するため、特定の Cookie を対象とする SecRule がペイロードを見逃しました。coraza/v3 3.8.1 未満に影響。3.8.1 で修正。

kill：「-」でプロセスにシグナル送信 — uutils の kill は -62342 のような引数を、GNU kill のように無効なシグナルとして拒否せず、シグナル送信先のプロセスとして扱っていました。そのため、入力ミスや細工されたコマンドラインで意図しないプロセスにシグナルが送られます。以前の -1 問題の亜種。coreutils 0.10.0 未満に影響。