Recentemente, GreyNoise ha lanciato un allarme riguardante una "crescita coordinata" nell'uso delle vulnerabilità SSRF (Server-Side Request Forgery) su diverse piattaforme. L'azienda ha osservato almeno 400 indirizzi IP che stanno sfruttando simultaneamente molteplici vulnerabilità SSRF, con un notevole sovrapporsi tra i tentativi di attacco. Questa attività è stata osservata il 9 marzo 2025, con paesi come Stati Uniti, Germania, Singapore, India, Lituania e Giappone che risultano tra i principali bersagli. Un aumento significativo è stato notato anche in Israele l'11 marzo 2025.
Le vulnerabilità SSRF sfruttate
Le vulnerabilità SSRF sfruttate sono numerose e includono:
- CVE-2017-0929 di DotNetNuke
- CVE-2020-7796 di Zimbra Collaboration Suite
- CVE-2021-21973 di VMware vCenter
- CVE-2021-22054 di VMware Workspace ONE UEM
- CVE-2021-22175 di GitLab CE/EE
- CVE-2021-22214 di GitLab CE/EE
- CVE-2021-39935 di GitLab CE/EE
- CVE-2023-5830 di ColumbiaSoft DocumentLocator
- CVE-2024-6587 di BerriAI LiteLLM
- CVE-2024-21893 di Ivanti Connect Secure
Inoltre, ci sono tentativi di SSRF su OpenBMCS 2.4 e Zimbra Collaboration Suite senza CVE specifici.
Strategie di attacco e raccomandazioni
GreyNoise sottolinea che molti degli stessi indirizzi IP stanno prendendo di mira molteplici falle SSRF contemporaneamente, piuttosto che concentrarsi su una debolezza particolare. Questo modello di attività suggerisce una forma di sfruttamento strutturato, automazione, o raccolta di intelligence pre-compromesso. Data la natura attiva degli attacchi, è essenziale che gli utenti applichino le ultime patch, limitino le connessioni in uscita ai soli endpoint necessari e monitorino eventuali richieste sospette in uscita.
Pericolosità delle vulnerabilità SSRF
Le vulnerabilità SSRF sono particolarmente pericolose perché molti servizi cloud moderni si basano su API di metadati interni, che possono essere accessibili se sfruttate. SSRF può essere utilizzato per mappare reti interne, individuare servizi vulnerabili e rubare credenziali cloud, rendendo queste minacce una priorità per la sicurezza informatica.
