PoC – CVE-2025-22870 – Go में IPv6 ज़ोन ID के माध्यम से HTTP प्रॉक्सी बायपास

सारांश

यह प्रूफ ऑफ कॉन्सेप्ट CVE-2025-22870 के शोषण को प्रदर्शित करता है, जो golang.org/x/net/http/httpproxy पैकेज (v0.36.0 से पहले) में एक कमजोरी है। इसका उपयोग HTTP प्रॉक्सी प्रतिबंधों को बायपास करने के लिए किया जा सकता है, IPv6 ज़ोन पहचानकर्ताओं को NO_PROXY पैटर्न के साथ मिलान किए जाने के तरीके का दुरुपयोग करके।

प्रभावित घटक

• पैकेज: golang.org/x/net/http/httpproxy
• प्रभावित संस्करण: < 0.36.0
• पैच किया गया संस्करण: 0.36.0
• खोजकर्ता: Juho Forsén (Mattermost)
• Go इश्यू: https://go.dev/issue/71984
• GitHub एडवाइज़री: https://github.com/advisories/GHSA-qxp5-gwg8-xv66

कमजोरी का विवरण

जब NO_PROXY पर्यावरण चर कुछ डोमेन को प्रॉक्सी के माध्यम से रूट होने से प्रतिबंधित करने के लिए सेट किया जाता है (उदाहरण के लिए, NO_PROXY=*.example.com), तो IPv6 ज़ोन ID वाले होस्ट के लिए एक विशेष रूप से तैयार किया गया अनुरोध (उदाहरण के लिए, [::1%25.example.com]) गलत तरीके से मेल खा सकता है और प्रॉक्सी किए जाने से बच सकता है। इसका परिणाम प्रॉक्सी बायपास होता है, जो कुछ शर्तों के तहत सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) की अनुमति दे सकता है।

प्रभाव

इस कमजोरी का उपयोग आंतरिक या स्थानीय सेवाओं को सीधे अनुरोध भेजने के लिए किया जा सकता है जबकि कॉन्फ़िगर किए गए प्रॉक्सी से बचते हुए, भले ही डोमेन कथित रूप से NO_PROXY द्वारा संरक्षित हों।

कमजोरी की विस्तृत जानकारी

यह PoC golang.org/x/net/http/httpproxy पैकेज में एक कमजोरी का शोषण करता है, विशेष रूप से NO_PROXY नियमों के साथ मिलान करते समय IPv6 ज़ोन पहचानकर्ताओं को पार्स करने के तरीके में।

उपयोग किया गया पेलोड है:

[::1%25.example.com]:https://raw.githubusercontent.com/joshuaprovoste/cve-2025-22870/HEAD/7777

कमजोर पैकेज में पार्सिंग बग के कारण, यह पता NO_PROXY से मेल खाने के बावजूद प्रॉक्सी को बायपास कर देता है।