SSRF
Server-Side Request Forgery: l'attaccante costringe il server a effettuare richieste HTTP verso URL scelti da lui, spesso la rete interna o gli endpoint dei metadati cloud. Decimo posto nella OWASP Top 10 2021.
Vettore classico: un'app accetta un parametro URL per «scaricare un'immagine da un indirizzo»; l'attaccante passa http://169.254.169.254/latest/meta-data/iam/security-credentials/ (metadati AWS IMDSv1) e il server restituisce le credenziali IAM. Violazione di Capital One, 2019: SSRF contro un Apache interno più i metadati AWS, con oltre 100 milioni di clienti coinvolti. Difese: allowlist dell'URL di destinazione, blocco degli IP privati (RFC1918, 169.254/16, 127.0.0.0/8, ::1), IMDSv2 (richiede un token di sessione e non risponde a un SSRF). Su EC2 il default è solo IMDSv2 dal 2020.