Axios Flaws Let Attackers Bypass Proxy Controls and Trigger SSRF Attacks
2026/10/01 gbhackers — Axios のメンテナが公表したのは、サーバ側アプリケーションのプロキシおよび DNS の制御を攻撃者が回避する可能性がある、複数の深刻度の高い脆弱性の情報である。それらを悪用する攻撃者は、内部サービス／クラウドのメタデータ・エンドポイントに対するサーバサイド・リクエスト・フォージェリ (SSRF) を引き起こす恐れがある。
最も重大な問題として挙げられている GHSA-3pq3-5fj3-cg6v は、Axios の HTTP/2 リクエスト処理に影響する。この脆弱性は、カスタム DNS ルックアップ・ハンドラ／エージェント／プロキシ設定などの上位レベルの設定を Axios が反映しないことに起因し、HTTP/2 アダプタが http2.connect() を介してセッションを確立する際に、options.http2Options だけを使用することで発生する。その結果として、開発者がプロキシ経由で監視／経路制御／遮断することを想定しているリクエストが、本来の宛先へ直接接続される可能性がある。
Axios の脆弱性
外向き通信の URL にユーザーが影響を与えるアプリケーションや、Axios の HTTP/2 サポートを有効化しているアプリケーション、SSRF 対策をプロキシまたはカスタム DNS リゾルバに依存しているアプリケーションでは、この問題の影響を受ける可能性が高い。攻撃者は、内部ホスト名／プライベート IP アドレス／クラウドのメタデータサービスを標的とする URL を指定し得る。
機密性の高い宛先を拒否するための防御策において、Axios のプロキシ経路制御やカスタムなルックアップ関数に依存している場合、HTTP/2 の実行経路がこれらの制御を回避し、宛先へ接続する可能性がある。Axios のアドバイザリによると、ライブラリの設定層でネットワーク制御を適用しているサーバ側環境で、Axios の悪用による影響が生じる。
悪用に成功した攻撃者は、内部 API レスポンス／クラウドインスタンスのメタデータ／認証情報／管理インターフェイスなどを流出させる可能性がある。また、本来はアクセスできないように設計されたサービスに対して、状態を変更するリクエストを実行する可能性もある。
脆弱性の追跡データによると、この HTTP/2 の問題は Axios 1.13.0 〜 1.20.0 未満に影響し、1.20.0 で修正されている。この HTTP/2 の脆弱性により、HTTP_PROXY／HTTPS_PROXY／NO_PROXY 環境変数に基づく SSRF 対策が回避される可能性のある、Axios の複数のプロキシ処理に関する問題も公表された。
関連するアドバイザリ GHSA-44g4-m2mj-wpv では、Axios が NO_PROXY 内の CIDR 形式のエントリを無視するとされている。一般的な組織では、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 などの、プライベート・サブネット向けのトラフィックをプロキシ経由にしないための CIDR エントリが用いられるため、これらの除外設定を Axios が認識しないことで、プロキシの経路制御ポリシー／多層防御が損なわれる可能性がある。
CVE の詳細
| CVE ID | Vulnerability | Severity | Affected Versions |
|---|---|---|---|
| CVE-2026-101901 | Unhandled error event in HTTP/2 ClientHttp2Session initialization | High | >= 1.13.0 |
| CVE-2026-101898 | HTTP/2 adapter bypasses custom DNS lookup and proxy controls | High | >= 1.13.0 |
| CVE-2026-101909 | Prototype-pollution gadget in toFormData options | High | >= 0.28.0; >= 1.15.1 |
| CVE-2026-101906 | ReDoS in shouldBypassProxy hostname normalization | High | Not specified in supplied advisory data |
| CVE-2026-101903 | ReDoS in fromDataURI data: URL parser | High | >= 1.16.1 |
| CVE-2026-101907 | Fetch adapter ignores maxRedirects: 0 | High | 1.17.0 |
| CVE-2026-101905 | Axios proxy/intermediary issue | High | Not specified in supplied advisory data |
Axios の以前に確認された脆弱性には、ホスト名の正規化／IP アドレスの特殊な表現に関連する問題もあった。たとえば、localhost. または角括弧で囲まれた IPv6 リテラルなどのループバック宛先の通常とは異なる表現を使用することで、NO_PROXY による文字列の直接比較が回避され、設定されたプロキシを経由するようトラフィックが誘導される可能性がある。
それとは別の問題は、アドレス 0.0.0.0 の処理方法に影響する。報告によると、Axios 1.15.0 〜 1.16.1 では、NO_PROXY ポリシーを評価する際に、この値をローカル・アドレスとして扱わない問題があった。したがって、リクエスト URL を制御できる攻撃者は、0.0.0.0 を宛先として用いることでリクエストを意図しない方向へ転送し、プロキシを介してローカル・サービスを外部へ露出させる可能性がある。
セキュリティチームに求められるのは、外向き通信に Axios を使用する Node.js アプリケーションを直ちに洗い出すことである。特に確認が必要なのは、ユーザーが指定した URL からのデータの取得／Web フックの処理／外部コンテンツの描画／クラウドサービスと連携するアプリケーションである。
今回の脆弱性の公表は、外向きリクエストのセキュリティで繰り返し問題となるリスクを示している。すべてのプロトコル・アダプタ／リダイレクト経路／DNS 名前解決処理／アドレス表現に対して、一貫したプロキシ設定を適用し、URL を検証する必要がある。
人気の HTTP クライアント・ライブラリである Axios において、内部制御をすり抜ける危険な不具合が公表されました。HTTP/2 通信時における設定情報の未反映／CIDR 形式の拒否設定の無視／特定の特殊アドレス表記時の判定誤りなどの不備が原因です。この脆弱性を突かれると、本来遮断されるべき内部ネットワークへの侵入／各種機密情報の漏洩／未許可の内部操作実行などの甚大な被害に繋がる恐れがあります。対応策として、修正版である v1.20.0 以降へのアップデート／対象パッケージを利用するアプリケーションの抽出／プロキシ設定や URL 検証処理の再点検などが挙げられます。安全なシステムの維持には、ライブラリの適切な管理と検証が不可欠です。
You must be logged in to post a comment.