Cómo mitigar las vulnerabilidades SSRF en Go

Proteger las solicitudes HTTP es fundamental al desarrollar aplicaciones Go para prevenir vulnerabilidades como la falsificación de solicitudes del lado del servidor (SSRF). Una vulnerabilidad SSRF ocurre cuando un atacante manipula un servidor para que realice solicitudes no previstas y, posiblemente, acceda a servicios internos o datos confidenciales.

Exploraremos cómo proteger las solicitudes HTTP mediante técnicas de análisis y validación de URL, y proporcionaremos código de ejemplo para reforzar el controlador de solicitudes HTTP GET http.Get.

El código del controlador de ruta HTTP que envía solicitudes HTTP al propio dominio de un usuario para obtener una imagen es el siguiente (abreviado para facilitar la lectura), dentro de una función llamada downloadAndResize:

func downloadAndResize(tenantID, fileID, fileSize string) error {
	// ...

	downloadResp, err := http.Get(info.Download)
	if (err != nil) {
		panic(err)
	}

	// ...
}

Cómo mitigar las vulnerabilidades SSRF en el código Go

Para mitigar las vulnerabilidades SSRF en aplicaciones Go, los desarrolladores deben enfocarse en validar y sanitizar las entradas, y comprender cómo construir URL de forma segura para no manipular el dominio resultante.

Los ataques SSRF suelen aprovechar una validación insuficiente de las entradas, lo que permite a los atacantes manipular URL y redirigir solicitudes a destinos no previstos. Al implementar una validación y sanitización sólidas de las entradas, los desarrolladores pueden reducir significativamente el riesgo de ataques SSRF.

Cómo implementar la validación de entradas para tenantID y fileID

En nuestra aplicación Go vulnerable, tenantID y fileID se extraen de la cadena de consulta sin ninguna validación. Esta falta de validación abre la puerta a ataques SSRF.

Veamos el siguiente código Go, que implementa la validación de entradas para garantizar que estos parámetros sean seguros:

func isValidTenantID(tenantID string) bool {
	// Implement a regex pattern to validate tenantID format
	// Example: only allow alphanumeric characters
	validTenantIDPattern := `^[a-zA-Z0-9]+$`
	matched, _ := regexp.MatchString(validTenantIDPattern, tenantID)
	return matched
}

func isValidFileID(fileID string) bool {
	// Implement a regex pattern to validate fileID format
	// Example: only allow alphanumeric characters and hyphens
	validFileIDPattern := `^[a-zA-Z0-9-]+$`
	matched, _ := regexp.MatchString(validFileIDPattern, fileID)
	return matched
}

Por qué es importante restringir las solicitudes salientes a hosts confiables

Otra estrategia eficaz para mitigar las vulnerabilidades SSRF es restringir las solicitudes salientes a hosts confiables. Esto se puede lograr manteniendo una lista de permitidos de hosts y verificando que el host de destino de cada solicitud esté en ella.

Este es un ejemplo de cómo implementar la restricción de hosts en la función downloadAndResize:

func isTrustedHost(host string) bool {
	// Define a list of trusted hosts
	trustedHosts := []string{"localtest.me", "example.com"}
	for _, trustedHost := range trustedHosts {
		if host == trustedHost {
			return true
		}
	}
	return false
}

func downloadAndResize(tenantID, fileID, fileSize string) error {
	urlStr := fmt.Sprintf("http://%s.%s/storage/%s.json", tenantID, baseHost, fileID)
	parsedURL, err := url.Parse(urlStr)
	if err != nil {
		panic(err)
	}

	if !isTrustedHost(parsedURL.Hostname()) {
		return fmt.Errorf("untrusted host: %s", parsedURL.Hostname())
	}

	// Proceed with the rest of the function
	// ...
}

Al implementar restricciones de hosts permitidos como control de seguridad, nos aseguramos de que la aplicación Go solo envíe solicitudes HTTP a una lista cerrada de hosts predefinidos y confiables, lo que reduce aún más el impacto de un ataque SSRF.

La importancia de adoptar un enfoque de seguridad primero en el desarrollo

Adoptar un enfoque de seguridad primero es fundamental para que los desarrolladores creen aplicaciones sólidas y seguras, y Go no es la excepción. Esto implica integrar consideraciones de seguridad en cada etapa del ciclo de vida del desarrollo de software, desde el diseño hasta la implementación.

Al priorizar la seguridad, los desarrolladores pueden:

• Reducir el riesgo de brechas de seguridad y filtraciones de datos.

• Proteger los datos de los usuarios y mantener su confianza.

• Cumplir con las regulaciones y los estándares del sector.

• Minimizar el costo y el impacto de los incidentes de seguridad.

Al seguir estas prácticas recomendadas y aprovechar recursos como la guía de seguridad de Go, los desarrolladores pueden mejorar la seguridad de sus aplicaciones Go y protegerse contra amenazas como SSRF.

Cómo aprovechar Snyk Code para la seguridad

Aprendimos a protegernos contra las vulnerabilidades SSRF y por qué los desarrolladores deben validar y sanitizar las entradas de los usuarios, restringir las solicitudes salientes a hosts confiables y usar listas de permitidos para controlar a qué dominios se puede acceder. Además, aprovechar herramientas de seguridad como Snyk Code puede ayudar a identificar y corregir estas vulnerabilidades en las primeras etapas del desarrollo.

Para reforzar aún más la seguridad de tu aplicación, considera usar Snyk Code para el análisis estático. Snyk Code puede identificar vulnerabilidades SSRF y otros problemas de seguridad en tu código Go antes de la implementación. Al integrar Snyk en tu IDE o repositorio, puedes detectar vulnerabilidades desde etapas tempranas y asegurarte de que tu aplicación siga siendo segura.

Para conocer más prácticas recomendadas de seguridad para Go, consulta la guía de seguridad de Go y aprende a crear contenedores seguros para tus aplicaciones con Docker.

Al implementar estas técnicas y utilizar herramientas como Snyk, puedes proteger tus aplicaciones Go de ataques SSRF y otras amenazas de seguridad.

¿Se puede usar Snyk con otros lenguajes de programación?

Snyk es una herramienta versátil que admite una amplia variedad de lenguajes de programación, por lo que es un recurso esencial para los desarrolladores que trabajan con distintas tecnologías. Ya sea que desarrolles en JavaScript, Python, Java, Ruby, PHP u otros lenguajes, Snyk ofrece soluciones de seguridad integrales adaptadas a cada ecosistema.

Esto incluye:

• JavaScript y TypeScript: Con Snyk, puedes analizar tus aplicaciones Node.js en busca de vulnerabilidades tanto en el código como en las dependencias.

• Python: Snyk ayuda a identificar vulnerabilidades en paquetes de Python y ofrece recomendaciones prácticas para corregirlas.

• Java: La integración de Snyk con Maven y Gradle permite a los desarrolladores de Java proteger sus aplicaciones al identificar y corregir vulnerabilidades en sus dependencias.

• Ruby: Los desarrolladores de Ruby pueden aprovechar Snyk para analizar sus archivos Gemfile y Gemfile.lock en busca de vulnerabilidades conocidas.

PHP: Snyk es compatible con Composer, lo que permite a los desarrolladores de PHP proteger sus proyectos al identificar vulnerabilidades en sus dependencias.