PoC – CVE-2025-22870 – Bypass de proxy HTTP mediante ID de zona IPv6 en Go

Resumen

Esta prueba de concepto demuestra la explotación de CVE-2025-22870, una vulnerabilidad en el paquete golang.org/x/net/http/httpproxy (anterior a la v0.36.0), que puede utilizarse para evadir las restricciones del proxy HTTP abusando de la forma en que los identificadores de zona IPv6 se comparan con los patrones de NO_PROXY.

Componente vulnerable

• Paquete: golang.org/x/net/http/httpproxy
• Versiones afectadas: < 0.36.0
• Versión corregida: 0.36.0
• Descubierto por: Juho Forsén (Mattermost)
• Informe de Go: https://go.dev/issue/71984
• Aviso de GitHub: https://github.com/advisories/GHSA-qxp5-gwg8-xv66

Descripción de la vulnerabilidad

Cuando la variable de entorno NO_PROXY se configura para restringir ciertos dominios de ser enrutados a través de un proxy (p. ej., NO_PROXY=*.example.com), una solicitud especialmente manipulada a un host con un ID de zona IPv6 (p. ej., [::1%25.example.com]) puede coincidir incorrectamente y evitar ser proxyficada. Esto resulta en un bypass del proxy, que podría permitir Server-Side Request Forgery (SSRF) bajo ciertas condiciones.

Impacto

Esta vulnerabilidad puede aprovecharse para enviar solicitudes directamente a servicios internos o locales mientras se evaden los proxies configurados, incluso si se supone que esos dominios estaban protegidos por NO_PROXY.

Detalles de la vulnerabilidad

El PoC explota una vulnerabilidad en el paquete golang.org/x/net/http/httpproxy, específicamente en la forma en que analiza los identificadores de zona IPv6 al compararlos con las reglas de NO_PROXY.

El payload utilizado es:

[::1%25.example.com]:https://raw.githubusercontent.com/joshuaprovoste/cve-2025-22870/HEAD/7777

Debido al error de análisis en el paquete vulnerable, esta dirección evita el proxy a pesar de coincidir con NO_PROXY.