h12o
Capital OneがSSRFを突いた攻撃で情報漏えいを起こして大被害というのは徳丸さんお馴染みのネタだけど、AWSベースでメディアをS3に格納しているMastodonサーバーだと他人事ではないので注意。
1. オープンなリバースプロキシー設定で169.254.169.254へのアクセスを許してしまう。
2. 169.254.169.254からS3へのクレデンシャルを抜き取ってしまう。
3. そのときデータのエクスポートで誰かが投稿本文とメディアのアーカイブを作成していると、S3に蓄積されているそれがき取れてしまう。
GNU social JP is a social network, courtesy of GNU social JP管理人. It runs on GNU social, version 2.0.2-dev, available under the GNU Affero General Public License.
All GNU social JP content and data are available under the Creative Commons Attribution 3.0 license.