Fedify: an ActivityPub server framework
@[email protected] · Reply to Fedify: an ActivityPub server framework's post
FedifyのWebFinger実装における脆弱性CVE-2025-23221に対するセキュリティアップデート（1.0.14、1.1.11、1.2.11、1.3.4）をリリースいたしました。すべてのユーザー様におかれましては、お使いのバージョンに応じた最新版への速やかなアップデートを推奨いたします。
脆弱性の詳細
セキュリティ研究者により、FedifyのlookupWebFinger()関数において以下のセキュリティ上の問題が発見されました：
- 無限リダイレクトループによるサービス拒否攻撃（DoS）の可能性
- プライベートネットワークアドレスへのリダイレクトを利用したSSRF（サーバーサイドリクエストフォージェリ）攻撃の可能性
- リダイレクト操作による意図しないURLスキームへのアクセスの可能性
修正されたバージョン
変更内容
本セキュリティアップデートでは、以下の修正が実施されました：
- 無限リダイレクトループを防ぐため、最大リダイレクト回数（5回）の制限を導入
- 元のリクエストと同じスキーム（HTTP/HTTPS）のみにリダイレクトを制限
- SSRFを防止するため、プライベートネットワークアドレスへのリダイレクトをブロック
アップデート方法
以下のコマンドで最新のセキュアバージョンにアップデートできます：
# npmユーザーの場合
npm update @fedify/fedify
# Denoユーザーの場合
deno add jsr:@fedify/fedify
この脆弱性を責任を持って報告していただいたセキュリティ研究者の方に感謝申し上げます。迅速な対応が可能となりました。
本脆弱性の詳細については、セキュリティ勧告をご参照ください。
ご質問やご懸念がございましたら、GitHub Discussions、Matrixチャットスペース、またはDiscordサーバーまでお気軽にご連絡ください。
