Falsificación de solicitudes del lado del servidor (SSRF)
SSRF hace que una aplicación envíe solicitudes de red no deseadas desde su servidor. Importa qué destinos alcanza realmente ese servidor.
La falsificación de solicitudes del lado del servidor, SSRF, consiste en abusar de una aplicación para que su servidor envíe solicitudes a destinos no previstos. El servidor puede tener un acceso de red distinto al de la persona que proporciona una entrada. Así pueden alcanzarse, por ejemplo, servicios internos no accesibles directamente desde fuera.
Una vista previa con un destino externo
Un portal de proyectos ficticio obtiene un documento de la dirección del campo previewTarget para mostrar una vista previa. Si acepta esa dirección sin controles adecuados, la función puede convertirse en intermediaria de accesos no deseados. El problema está en la obtención por el servidor, antes de mostrar el documento. Esas llamadas pueden producir efectos no deseados aunque no se devuelva el contenido de la respuesta.
En esta variante del portal, las vistas previas solo están previstas para fuentes documentales conocidas. Por ello, la aplicación puede fijar las fuentes permitidas en vez de aceptar cualquier destino. Esta restricción solo encaja si la función puede limitarse realmente a fuentes conocidas.
Considerar juntos el destino y el límite de red
MDN y OWASP describen protección en las capas de aplicación y red. No basta con comprobar el nombre de host escrito: las direcciones resueltas y la conexión establecida deben cumplir también la regla de destinos permitidos. Las redirecciones pueden cambiar el destino y no deben eludir la comprobación.
El servicio solo necesita los accesos de red exigidos por su tarea. Las restricciones de protocolo y destino, las redirecciones controladas y los permisos de red limitados actúan conjuntamente. HTTPS por sí solo no hace que un destino esté permitido. El escenario explica el límite de confianza; no informa de una descarga ni de una prueba de seguridad realizadas.
Fuentes
Términos relacionados
- APIUna API define cómo un programa puede utilizar funciones o datos ofrecidos por otro programa.
- BackendEl backend procesa reglas y datos en el servidor. No se limita a la base de datos ni a una pantalla de administración.
- WebhookUn webhook envía una notificación HTTP a otro sistema cuando ocurre un evento definido.
- Minimización de datosLa minimización limita los datos personales a lo adecuado, pertinente y necesario para una finalidad definida.
- Política de conservación de datosUna política de conservación define la finalidad, el inicio, la duración y el fin del almacenamiento. Los trabajos de borrado y las copias requieren medidas técnicas.
- Cifrado de sobreEl cifrado de sobre separa la clave de datos de la que la protege. El archivo cifrado y su clave de datos envuelta deben gestionarse juntos.
Su proyecto con ASES
Descríbanos su proyecto. Le responderemos con una primera valoración.