CVE-2026-33752

CVE-2026-33752 (SSRF basato su reindirizzamento che porta all'accesso alla rete interna in curl_cffi)

Riepilogo

curl_cffi non limita le richieste agli intervalli IP interni e segue automaticamente i reindirizzamenti tramite la libreria libcurl sottostante.

Per questo motivo, un URL controllato da un attaccante può reindirizzare le richieste verso servizi interni come gli endpoint di metadati cloud. Inoltre, la funzionalità di impersonificazione TLS di curl_cffi può far apparire queste richieste come traffico legittimo di un browser, il che potrebbe aggirare alcuni controlli di rete.

Dettagli

Il problema deriva da come curl_cffi gestisce le richieste in uscita

• Gli URL forniti dall'utente vengono passati direttamente a libcurl senza verificare se risolvono verso intervalli IP interni (ad es., 127.0.0.1, 169.254.0.0/16).
• I reindirizzamenti vengono seguiti automaticamente (CURLOPT_FOLLOWLOCATION = 1) all'interno di libcurl.
• Non esiste alcuna validazione delle destinazioni di reindirizzamento a livello Python.

Ciò significa che, anche se un'applicazione consente solo richieste verso URL esterni, un attaccante può

• Fornire un URL che punta a un server controllato dall'attaccante
• Restituire una risposta di reindirizzamento che punta a un servizio interno
• Far seguire automaticamente quel reindirizzamento a curl_cffi

Di conseguenza, gli endpoint interni (come le API di metadati delle istanze cloud) possono essere accessibili.

Inoltre, curl_cffi supporta l'impersonificazione dell'impronta TLS (ad es., impersonate="chrome"). In ambienti in cui le richieste in uscita vengono filtrate in base all'impronta TLS, ciò può rendere tali richieste più difficili da rilevare o bloccare.

Questo comportamento è simile a problemi SSRF basati su reindirizzamento precedentemente segnalati come CVE-2025-68616, in cui i reindirizzamenti consentivano l'accesso a risorse interne non intenzionali.