CVE-2026-54272 in ip-address
要約
〜によって VulDB • 2026年07月27日
ip-addressは、JavaScriptでIPv4およびIPv6アドレスの解析と操作を行うためのライブラリです。バージョン10.1.1から10.2.0までは、IPv4マッピング済み/NAT64 IPv6アドレスの誤分類によりSSRF（サーバーサイドリクエストフォージェリ）の影響を受けます。Address6.getType()クラスメソッドは、既知のIPv6特殊用途プレフィックスのテーブルと照合することでアドレスを分類し、一致するものがない場合は「Global unicast」を返します。このテーブルにはIPv4マッピング済み範囲(::ffff:0:0/96)のエントリがなかったため、すべてのマップされたアドレスはデフォルトでGlobal unicastとして扱われ；NAT64アドレスは独自のNAT64…ラベルと一致しました。ブール値のチェックであるisLoopback、isUnspecified、およびisMulticastはgetType()の結果を固定ラベルと比較していたためfalseを返し、一方isLinkLocalおよびULAはネイティブIPv6範囲のみをチェックしていました。ライブラリには既にisMapped4()およびto4()が公開されていましたが、これらの内部チェックでは適用されなかったため、マップされたアドレスまたはNAT64アドレスは分類前に埋め込まれたIPv4アドレスに正規化されることはありませんでした。IPv4マッピング済みアドレスの場合、ホストOSはIPv4スタックへルーティングするため、この誤分類は任意のデュアルスタック環境で到達可能です。NAT64については、分類バイパスは無条件ですが、エンドツーエンドでの到達性にはデプロイメントネットワーク内にNAT64/DNS64ゲートウェイが存在することも必要です。本問題はバージョン10.2.1で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.