Che cos'è l'SSRF ?

Per comprendere l'SSRF (Server-Side Request Forgery), consideriamo un caso in cui una rete aziendale è protetta da un firewall. All'interno di questa rete possono essere presenti vari dispositivi, tra cui computer, dispositivi personali e server. Tuttavia, un server web è connesso sia alla rete aziendale che a Internet, fungendo da ponte tra questi due componenti.

Un criminale può sfruttare l'SSRF utilizzando il server web o un server sul cloud per bypassare il firewall e ottenere l'accesso alle risorse di rete aziendali interne. Questo accesso non autorizzato può richiedere alcune operazioni, come la lettura dei file, la scansione delle porte o persino l'esecuzione remota del codice.

Ad esempio, una richiesta di API concepita per recuperare gli avatar da un file server potrebbe essere manipolata da un criminale per accedere a documenti aziendali o finanziari sensibili, che sono archiviati in un'altra directory. Analogamente, in un ambiente cloud, un criminale potrebbe accedere alle risorse cloud, come le credenziali EC2, sfruttando l'SSRF.

L'input e i parametri degli utenti svolgono un ruolo fondamentale negli attacchi SSRF. Spesso, le vulnerabilità SSRF nascono quando un'API accetta input di utenti non convalidati o gestisce in modo improprio i parametri nelle richieste HTTP. I criminali possono manipolare questi parametri per inviare richieste a destinazioni non intenzionali, come risorse interne o altre parti sensibili della rete aziendale. La corretta convalida dell'input dell'utente e l'integrità dei parametri possono ridurre significativamente il rischio di SSRF, impedendo ai criminali di sfruttare questi punti deboli per accedere alle risorse interne.

Sebbene le API siano spesso considerate automaticamente sicure, è fondamentale ricordare che si tratta essenzialmente di applicazioni web. Pertanto, qualsiasi vulnerabilità che interessa un'applicazione web può avere un impatto anche su un'API. L'atto di recuperare le risorse esterne tramite le API comporta un rischio significativo, il che rende l'SSRF una preoccupazione fondamentale per gli addetti alla sicurezza delle API.

Uno dei modi più efficaci per mitigare l'SSRF è proteggere la comunicazione tra l'API e i servizi back-end. Ciò include l'implementazione di rigorose misure di controllo degli accessi, garantendo che le risorse interne non siano esposte a richieste non autorizzate e configurando accuratamente le impostazioni del DNS per impedire ai criminali di risolvere gli indirizzi IP interni. Inoltre, utilizzare canali crittografati e far comunicare gli endpoint API solo con servizi back-end affidabili possono ridurre notevolmente il rischio di attacchi SSRF. È inoltre essenziale aggiornare regolarmente i protocolli di sicurezza e garantire la corretta progettazione delle API in linea con le best practice necessarie per evitare le 10 principali vulnerabilità della sicurezza delle API riportate nell'elenco OWASP.

Per ridurre il rischio di SSRF, è possibile implementare diverse misure:

• Elenchi di elementi consentiti: implementate questo tipo di elenchi per limitare le risorse che possono essere recuperate tramite le API. Specificando determinate risorse, le organizzazioni possono garantire l'accesso solo alle risorse autorizzate e sicure.
• Isolare i server web: evitate di posizionare i server web direttamente sulla rete aziendale interna. Al contrario, valutate la possibilità di implementarle in un segmento di rete separato o nel cloud per ridurre al minimo il rischio di attacchi SSRF.
• Valutare la necessità di risorse: verificate se il recupero delle risorse esterne è realmente necessario per la funzionalità dell'API. Minimizzare la dipendenza dalle risorse esterne può ridurre la superficie di attacco e mitigare il rischio di falsificazione di attacchi SSRF.
• Protezione dei firewall: utilizzate sempre un firewall sulla rete aziendale per fornire un ulteriore livello di difesa contro accessi non autorizzati e potenziali attacchi SSRF.
• Seguire i consigli sulla progettazione delle API: tenetevi aggiornati sui consigli sulla progettazione delle API che forniscono best practice per lo sviluppo di API resilienti agli attacchi SSRF.