Por Qué la Defensa Anti-SSRF es Esencial en los Resolvedores de Medios Modernos
Cómo la verificación DNS previa y el anclaje IP de socket neutralizan ataques de rebote TOCTOU contra metadatos en la nube.
Seguridad de Red•7 min de lectura•2026-10-28
1. Anatomía de un Ataque de DNS Rebinding (TOCTOU) en Extractores de Medios
Cualquier aplicación web que acepte una URL externa para inspeccionar medios es un objetivo primordial para ataques SSRF. Las implementaciones básicas validan el host una vez y luego pasan la cadena al cliente HTTP.
En un ataque de DNS Rebinding (TOCTOU), el atacante utiliza un TTL de 0 segundos para devolver primero una IP pública válida y luego redirigir la segunda consulta hacia 169.254.169.254 o 127.0.0.1. StreamCatch neutraliza este vector mediante el anclaje de IP en el socket TCP de Undici.
Conclusiones Técnicas Clave
- Filtrado estricto de rangos RFC 1918, CGNAT, Loopback e IPv6 Link-Local antes de abrir cualquier socket.
- Inspección manual de redirecciones HTTP 3xx: cada salto se somete a validación completa de lista blanca y DNS.