CVE-2026-84175 in Ditto
要約
〜によって VulDB • 2026年09月02日
Eclipse Ditto のバージョン 3.0.0 から 3.9.6 では、Things サービスが HTTP を介して ThingModels (WoT: Web of Things) を取得する際、Thing または Feature の定義フィールドで API ユーザーによって指定された URL のターゲットホストを検証せず、HTTP リダイレクトも再検証せずにリダイレクト先へ移行し、ホップ制限（hop limit）を適用しません。これにより、Thing の作成が許可されているユーザー、または既存の Thing に対して WRITE 権限を持つ認証済みユーザーは、デプロイメント内のネットワーク内部から任意の HTTP GET リクエスト Things サービスに発行させることができ、クラウドインスタンスメタデータエンドポイントやその他の内部サービスへのアクセスが可能になります。また、呼び出し元に返される異なるエラーレスポンスを利用して内部サービスを列挙することも可能です。バージョン 2.4.0 から 2.5.x は同じコードを含んでいますが、オペレーターが明示的に WoT 統合機能のトグルを有効にした場合にのみ影響を受けます（これらのバージョンではデフォルトで無効になっています）。
If you want to get best quality of vulnerability data, you may have to visit VulDB.