SSRF
Server-Side Request Forgery — atakujący zmusza serwer do wysyłania żądań HTTP pod wskazane adresy (najczęściej do sieci wewnętrznej lub punktów metadanych chmury). Nr 10 w OWASP Top 10 z 2021 roku.
Klasyczny wektor: aplikacja przyjmuje parametr URL w funkcji „pobierz obraz z adresu”, atakujący podaje http://169.254.169.254/latest/meta-data/iam/security-credentials/ (metadane AWS IMDSv1), a serwer zwraca poświadczenia IAM. Włamanie do Capital One w 2019 roku: SSRF wobec wewnętrznego Apache i metadanych AWS = wyciek danych ponad 100 mln klientów.
Obrona: walidacja adresu docelowego według listy dozwolonych, blokada adresów prywatnych (RFC1918, 169.254/16, 127.0.0.0/8, ::1) oraz IMDSv2, które wymaga tokenu sesji i nie odpowiada na tak sfałszowane żądania. Od 2020 roku w EC2 domyślnie dostępne jest wyłącznie IMDSv2.