CVE-2026-33752

CVE-2026-33752 (SSRF basé sur les redirections menant à un accès au réseau interne dans curl_cffi)

Résumé

curl_cffi ne restreint pas les requêtes aux plages d'adresses IP internes et suit automatiquement les redirections via la bibliothèque libcurl sous-jacente.

De ce fait, une URL contrôlée par un attaquant peut rediriger des requêtes vers des services internes tels que les points de terminaison de métadonnées cloud. De plus, la fonctionnalité d'usurpation TLS de curl_cffi peut faire apparaître ces requêtes comme un trafic de navigateur légitime, ce qui peut contourner certains contrôles réseau.

Détails

Le problème provient de la manière dont curl_cffi gère les requêtes sortantes

• Les URL fournies par l'utilisateur sont transmises directement à libcurl sans vérifier si elles résolvent vers des plages d'adresses IP internes (par exemple, 127.0.0.1, 169.254.0.0/16).
• Les redirections sont automatiquement suivies (CURLOPT_FOLLOWLOCATION = 1) dans libcurl.
• Aucune validation des destinations de redirection n'est effectuée au niveau de la couche Python.

Cela signifie que même si une application n'autorise que les requêtes vers des URL externes, un attaquant peut

• Fournir une URL pointant vers un serveur contrôlé par l'attaquant
• Renvoyer une réponse de redirection pointant vers un service interne
• Faire en sorte que curl_cffi suive automatiquement cette redirection

Par conséquent, les points de terminaison internes (tels que les API de métadonnées d'instance cloud) peuvent être accessibles.

De plus, curl_cffi prend en charge l'usurpation d'empreinte TLS (par exemple, impersonate="chrome"). Dans les environnements où les requêtes sortantes sont filtrées en fonction de l'empreinte TLS, cela peut rendre ces requêtes plus difficiles à détecter ou à bloquer.

Ce comportement est similaire aux problèmes SSRF basés sur les redirections précédemment signalés, tels que CVE-2025-68616, où les redirections permettaient d'accéder à des ressources internes non intentionnelles.