CVE-2024-41664 in canarytokens
要約
〜によって VulDB • 2026年06月02日
Canarytokensは、ネットワーク上のアクティビティやアクションを追跡するために使用されます。`sha-8ea5315`より前のCanarytokens.orgには、Webhookアラート機能におけるBlind SSRF（Server-Side Request Forgery）の脆弱性が存在しました。Canarytokenを作成する際、ユーザーはメールまたはWebhookのいずれかを通じてアラートを受け取るかを選択します。Canarytokenの作成時にWebhookが指定されると、サイトはアラート通知のHTTPリクエストを受け付けることを確認するために、指定されたURLに対してテストリクエストを送信します。URLに対して安全チェックが行われなかったため、Server-Side Request Forgery（SSRF）の脆弱性が生じました。このSSRFはBlindであり、レスポンスの内容は作成ユーザーには表示されず、テストリクエストの送信時にエラーが発生したかどうかのみが通知されます。このBlind SSRFを利用することで、Canarytokens.orgインフラストラクチャ内のIPアドレスで開いているポートをマッピングすることが可能でした。この問題は現在、Canarytokens.orgで修正されています。自前ホスト型のCanarytokensインストールを使用しているユーザーは、最新のDockerイメージ、または`sha-097d91a`以降のDockerイメージを取得することで更新できます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.