SeaweedFS può diventare un relè SSRF verso servizi interni che non dovrebbero essere raggiungibili dalla rete. In una istanza esposta su Internet, basta farle recuperare una destinazione scelta dall’attaccante per usarla come hop fidato verso endpoint privati, compresi i servizi di metadata cloud che rilasciano credenziali IAM.
La falla è in VolumeServer.FetchAndWriteNeedle, che non autentica né valida il target della richiesta. SeaweedFS ha corretto il problema nella versione 0.0.0-20260512171120-69da20bdaec9; il rischio non è solo la lettura di una risposta arbitraria, ma l’accesso a servizi interni e la sottrazione di segreti che aprono la strada a movimenti laterali.
Per chi gestisce nodi SeaweedFS raggiungibili dall’esterno, il punto è che il server stesso diventa il ponte fidato verso ciò che resta nascosto dietro la rete privata. In questi ambienti, la correzione riguarda anche la fiducia riposta nel piano di accesso interno, non solo una singola richiesta mal formata.