検索

While working on #Fedify, I noticed something about how #Misskey handles #ActivityPub object access. When a remote server requests a followers-only post or DM with a valid HTTP Signatures (draft-cavage) from an authorized actor, Misskey still returns 404 instead of the content. It seems Misskey only checks the visibility field (public/home) without verifying the signature at all. #Mastodon takes a different approach—when #authorized_fetch is enabled, it validates the HTTP Signatures and returns the content if the requesting actor has permission. I think it would be beneficial if Misskey could adopt a similar mechanism, since it would better respect the access control semantics that ActivityPub intends. Has anyone else run into this, or are there specific reasons Misskey handles it this way? #fedidev

#Fedify 프레임워크의 #WebFinger 구현에서 발견된 보안 취약점 CVE-2025-23221을 해결하기 위한 보안 업데이트(1.0.14, 1.1.11, 1.2.11, 1.3.4)를 배포했습니다. 모든 사용자께서는 각자 사용 중인 버전에 해당하는 최신 버전으로 즉시 업데이트하시기를 권장합니다.


취약점 내용


보안 연구자가 Fedify의 lookupWebFinger() 함수에서 다음과 같은 보안 문제점들을 발견했습니다: 무한 리다이렉트 루프를 통한 서비스 거부 공격 가능 내부 네트워크 주소로의 리다이렉트를 통한 SSRF (서버측 요청 위조) 공격 가능 리다이렉트 조작을 통한 의도하지 않은 URL 스킴 접근 가능 수정된 버전 1.3.x 시리즈: 1.3.4로 업데이트 1.2.x 시리즈: 1.2.11로 업데이트 1.1.x 시리즈: 1.1.11로 업데이트 1.0.x 시리즈: 1.0.14로 업데이트



변경 사항


이번 보안 업데이트에는 다음과 같은 수정 사항이 포함되어 있습니다:


무한 리다이렉트 루프를 방지하기 위해 최대 리다이렉트 횟수 제한(5회) 도입

원래 요청과 동일한 스킴(HTTP/HTTPS)으로만 리다이렉트 허용하도록 제한

SSRF 공격 방지를 위해 내부 네트워크 주소로의 리다이렉트 차단



업데이트 방법


다음 명령어로 최신 보안 버전으로 업데이트하실 수 있습니다:

# npm 사용자의 경우
npm update @fedify/fedify

# Deno 사용자의 경우
deno add jsr:@fedify/fedify

이 취약점을 책임감 있게 보고해 주신 보안 연구자께 감사드립니다. 덕분에 신속하게 문제를 해결할 수 있었습니다. 이 취약점에 대한 자세한 내용은 보안 권고문을 참고해 주시기 바랍니다. 문의 사항이나 우려 사항이 있으시다면 GitHub Discussions나 Matrix 채팅방, 또는 Discord 서버를 통해 언제든 연락해 주시기 바랍니다. #보안 #보안패치 #취약점 #SSRF

We have released #security updates (1.0.14, 1.1.11, 1.2.11, 1.3.4) to address CVE-2025-23221, a #vulnerability in #Fedify's #WebFinger implementation. We recommend all users update to the latest version of their respective release series immediately.


The Vulnerability


A security researcher identified multiple security issues in Fedify's lookupWebFinger() function that could be exploited to: Perform denial of service attacks through infinite redirect loops Execute server-side request forgery (#SSRF) attacks via redirects to private network addresses Access unintended URL schemes through redirect manipulation Fixed Versions 1.3.x series: Update to 1.3.4 1.2.x series: Update to 1.2.11 1.1.x series: Update to 1.1.11 1.0.x series: Update to 1.0.14



Changes


The security updates implement the following fixes:


Added a maximum redirect limit (5) to prevent infinite redirect loops

Restricted redirects to only follow the same scheme as the original request (HTTP/HTTPS)

Blocked redirects to private network addresses to prevent SSRF attacks



How to Update


To update to the latest secure version:

# For npm users
npm update @fedify/fedify

# For Deno users
deno add jsr:@fedify/fedify

We thank the security researcher who responsibly disclosed this vulnerability, allowing us to address these issues promptly. For more details about this vulnerability, please refer to our security advisory. If you have any questions or concerns, please don't hesitate to reach out through our GitHub Discussions, join our Matrix chat space, or our Discord server.