Nitter's /video media proxy endpoint fails to validate targe…(CVE-2026-56285・CVSS 8.6)

概要

Nitter's /video media proxy endpoint fails to validate target URLs against Twitter/X domains and...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Nitter's /video media proxy endpoint fails to validate target URLs against Twitter/X domains and uses a hardcoded default HMAC key, allowing unauthenticated attackers to compute valid HMACs for arbitrary URLs. Attackers can retrieve HTTP responses from any host reachable by the server, including cloud metadata services and internal network resources.

出典: GitHub Security Advisories (Global) NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Nitterの/videoメディアプロキシエンドポイントに脆弱性があります。このエンドポイントはTwitter/Xドメインに対してターゲットURLの検証を行わず、ハードコードされたHMACキーを使用しているため、攻撃者が任意のURLの有効なHMACを計算できます。これにより、サーバーが到達可能なホストからHTTP応答を取得できる恐れがあります。

❓ 何が問題か

Nitterの/videoメディアプロキシエンドポイントの脆弱性で、HMACキーがハードコードされており、任意のURLの有効なHMACを作成可能。

📍 影響範囲

Nitterの/videoメディアプロキシエンドポイント

🔥 重要度

攻撃者がサーバーが到達可能な任意のホストからHTTP応答を取得できるため、高度な攻撃を行うことが可能。

🔧 修正方法

ターゲットURLの検証を強化し、ハードコードされたHMACキーを設定可能なように修正する。

🛡️ 暫定回避

情報なし

🔍 検知方法

情報なし