Pourquoi la Défense Anti-SSRF et le Socket Pinning sont Indispensables aux Résolveurs Médias
Comment l’épinglage de socket Undici et le filtrage DNS RFC 1918 neutralisent les attaques par DNS Rebinding (TOCTOU).
1. Anatomie d’une Attaque par DNS Rebinding (TOCTOU) sur un Extracteur Média
Toute application web qui accepte une URL fournie par l’utilisateur pour inspecter un média distant est une cible privilégiée pour les attaques SSRF (Server-Side Request Forgery). Les implémentations naïves vérifient le nom d’hôte une première fois, puis transmettent l’URL brute au client HTTP.
Lors d'une attaque par DNS Rebinding (TOCTOU), un attaquant configure un serveur DNS avec un TTL de 0 seconde. La première résolution renvoie une IP publique valide pour franchir le filtre, tandis que la seconde résolution — exécutée quelques millisecondes plus tard par le client HTTP — pointe vers 169.254.169.254 (métadonnées Cloud AWS/GCP) ou 127.0.0.1. StreamCatch neutralise totalement ce vecteur grâce à l'épinglage d'IP (Socket Pinning) au niveau de l'agent TCP Undici.
- Filtrage strict des plages RFC 1918, CGNAT (100.64.0.0/10), Loopback et IPv6 Link-Local avant toute ouverture de socket.
- Inspection manuelle des redirections HTTP 3xx : chaque saut subit une re-validation DNS et liste blanche complète.