CVE-2024-49363 in Misskey
要約
〜によって VulDB • 2026年05月31日
Misskeyは、オープンソースの連合型ソーシャルメディアプラットフォームです。影響を受けるバージョンのgithub.com/misskey-dev/misskey 2024.10.1以前では、FileServerService（メディアプロキシ）がプロキシループを検出せず、攻撃者が悪意を持って作成されたノートを送信することで、自己増幅型の反射/増幅型分散型サービス妨害（DDoS）を実行できる脆弱性が存在しました。FileServerService.prototype.proxyHandlerは、着信リクエストが他のプロキシサーバーから送信されていないかを確認していませんでした。攻撃者は、サーバーに対してネストされたプロキシリクエストを送信し、そのリクエストを別のネストされたプロキシリクエストへの悪意のあるリダイレクトで終了させることで、増幅されたサービス妨害を実行できます。これにより、元のリクエストがタイムアウトするまで無制限の再帰が発生します。この問題はバージョン2024.11.0-alpha.3で修正されています。ユーザーはアップグレードすることをお勧めします。アップグレードが不可能なユーザーは、リバースプロキシを設定して、User-Agentヘッダーが空、またはMisskey/を含むリクエストをプロキシに対してブロックするようにしてください。攻撃者は、サーバーに対して別のリクエストを行わない限り、User-Agentヘッダーを効果的に変更することはできません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.