Por Que a Defesa Anti-SSRF é Essencial em Resolvedores de Mídia Modernos
Como a verificação DNS pré-voo e a fixação de IP de socket neutralizam ataques TOCTOU contra metadados de nuvem.
Segurança de Rede•7 min de leitura•2026-10-28
1. Anatomia de um Ataque de DNS Rebinding (TOCTOU) em Extratores de Mídia
Qualquer aplicação web que aceite uma URL externa para buscar mídia é um alvo primário para ataques SSRF. Implementações ingênuas validam o host uma vez e repassam a URL ao cliente HTTP.
Em um ataque de DNS Rebinding (TOCTOU), o invasor configura um TTL de 0 segundo para retornar primeiro um IP público válido e, milissegundos depois, resolver para 169.254.169.254 ou 127.0.0.1. O StreamCatch elimina esse vetor fixando o IP diretamente no socket TCP do Undici.
Principais Conclusões Técnicas
- Filtragem estrita de faixas RFC 1918, CGNAT, Loopback e IPv6 Link-Local antes da abertura de qualquer socket.
- Inspeção manual de redirecionamentos HTTP 3xx: cada salto passa por validação completa de DNS e allowlist.