CVE-2026-2020 – SSRF durch URL-Parser-Differenz

Programmcode (Python)

# vulnerable_service.py - Validates URL with urllib.parse, fetches with requests
from flask import Flask, request
import requests
import urllib.parse

app = Flask(__name__)

def is_allowed_url(url):
    parsed = urllib.parse.urlparse(url)
    # Only allow http://localhost and http://127.0.0.1
    return parsed.hostname in ('localhost', '127.0.0.1')

@app.route('/fetch')
def fetch():
    url = request.args.get('url')
    if not is_allowed_url(url):
        return "Blocked", 403
    # Fetch with requests (different parser)
    r = requests.get(url, timeout=5)
    return r.text

if __name__ == '__main__':
    app.run(port=5000)

CVE-2026-2020 – SSRF durch URL-Parser-Differenz

Übersicht

Ein Dienst verwendet Pythons urllib.parse.urlparse zur Validierung von URLs, ruft sie aber anschließend mit der Bibliothek requests ab. Abweichungen in der Behandlung von Sonderzeichen (wie @) durch die beiden Parser ermöglichen es einem Angreifer, die Whitelist zu umgehen und auf interne Ressourcen zuzugreifen.

Details zur Schwachstelle

• Typ: Server‑Side Request Forgery (SSRF) – Parser-Differenz
• Auswirkungen: Zugriff auf interne Dienste, Exfiltration von Cloud-Metadaten.
• Grundursache: urlparse behandelt [email protected] so, als habe es den Hostnamen localhost (der Teil vor @ ist der Benutzername), während requests den Host als evil.com interpretiert.

Exploit-Demonstration

1. Starten Sie den verwundbaren Dienst:
   root@kitploit:~

   pip install flask requests
   python vulnerable_service.py
   

2. Führen Sie den Exploit aus:
   root@kitploit:~

   python exploit_ssrf_parser_diff.py