Podatności Angular SSR

Angular SSR przed wersjami 21.2.0-rc.1, 21.1.5, 20.3.17 i 19.2.21 zawiera podatność typu Server-Side Request Forgery (SSRF) w obsłudze żądań. Framework bez walidacji ufa nagłówkom Host i X-Forwarded-*, co pozwala atakującemu kierować żądania do wewnętrznych zasobów.

Angular SSR to narzędzie do renderowania po stronie serwera dla aplikacji Angular. W wersjach przed 20.3.36, 21.2.23 i 22.1.7 logika retrieveSSGPage w CommonEngine w @angular/ssr/node oraz w @angular/ssr dla wersji 17-18 akceptuje względny adres URL żądania zawierający segment przejścia wstecznego z ukośnikiem odwrotnym w systemie Windows. Nieuwierzytelniony żądający może pobrać sąsiednią prerenderowaną stronę HTML, jeśli zawiera ona znacznik Angular SSG.

Angular SSR (pakiet @angular/ssr) przed wersjami 19.2.18, 20.3.6 i 21.0.0-next.8 zawiera podatność Server-Side Request Forgery (SSRF) w mechanizmie rozwiązywania adresów URL. Funkcja createRequestUrl używa natywnego konstruktora URL. Gdy ścieżka żądania przychodzącego (np. originalUrl lub url) zaczyna się od podwójnego ukośnika (//) lub backslasha (\), konstruktor URL traktuje to jako adres URL względny do schematu, co nadpisuje bazowy URL (protokół, host, port) i pozwala atakującemu kontrolować host. To pozwala atakującemu na ustawienie zewnętrznej domeny w ścieżce URL, co powoduje, że środowisko SSR ustawia wirtualną lokalizację strony (dostępną przez tokeny DOCUMENT lub PlatformLocation) na domenę kontrolowaną przez atakującego. Kolejne względne żądania HTTP wykonywane podczas procesu SSR (np. HttpClient.get('assets/data.json')) będą błędnie rozwiązywane względem domeny atakującego, zmuszając serwer do komunikacji z zewnętrznym punktem końcowym. Podatność została naprawiona w wersjach 19.2.18, 20.3.6 i 21.0.0-next.8.