CVE-2026-33752

CVE-2026-33752 (Redirect-basierte SSRF, die zu internem Netzwerkzugriff in curl_cffi führt)

Zusammenfassung

curl_cffi beschränkt Anfragen nicht auf interne IP-Bereiche und folgt Weiterleitungen automatisch über das zugrunde liegende libcurl.

Aus diesem Grund kann eine vom Angreifer kontrollierte URL Anfragen auf interne Dienste wie Cloud-Metadaten-Endpunkte umleiten. Darüber hinaus kann die TLS-Impersonation-Funktion von curl_cffi diese Anfragen wie legitimen Browser-Traffic erscheinen lassen, was bestimmte Netzwerkkontrollen umgehen kann.

Details

Das Problem ergibt sich aus der Art und Weise, wie curl_cffi ausgehende Anfragen verarbeitet

• Vom Benutzer bereitgestellte URLs werden direkt an libcurl übergeben, ohne zu prüfen, ob sie auf interne IP-Bereiche (z. B. 127.0.0.1, 169.254.0.0/16) aufgelöst werden.
• Weiterleitungen werden automatisch verfolgt (CURLOPT_FOLLOWLOCATION = 1) innerhalb von libcurl.
• Es gibt keine Validierung der Weiterleitungsziele auf der Python-Ebene.

Das bedeutet, dass selbst wenn eine Anwendung nur Anfragen an externe URLs zulässt, ein Angreifer Folgendes tun kann

• Eine URL bereitstellen, die auf einen vom Angreifer kontrollierten Server verweist
• Eine Weiterleitungsantwort zurückgeben, die auf einen internen Dienst verweist
• curl_cffi diese Weiterleitung automatisch verfolgen lassen

Infolgedessen können interne Endpunkte (wie Cloud-Instanz-Metadaten-APIs) aufgerufen werden.

Darüber hinaus unterstützt curl_cffi die Impersonation von TLS-Fingerprints (z. B. impersonate="chrome"). In Umgebungen, in denen ausgehende Anfragen auf der Grundlage von TLS-Fingerprinting gefiltert werden, kann dies solche Anfragen schwerer erkennbar oder blockierbar machen.

Dieses Verhalten ähnelt zuvor gemeldeten Redirect-basierten SSRF-Problemen wie CVE-2025-68616, bei denen Weiterleitungen den Zugriff auf unbeabsichtigte interne Ressourcen ermöglichten.