觀點 · 資訊分享

Axios 的 NO_PROXY 防線會被「localhost.」繞過：GitHub 評 4.8、NVD 評 9.9，到底該不該緊張？

Axios 在 1.15.0 與 0.31.0 之前，檢查 NO_PROXY 時沒有先正規化主機名稱，導致 localhost. 或 [::1] 這類寫法仍會走代理，可能讓攻擊者碰到本機或內部服務。同一個漏洞，GitHub 與 NVD 的評分差了一倍多。

一句話看懂：Axios 在 1.15.0 與 0.31.0 以前，檢查 NO_PROXY 時有漏洞，寫成 localhost. 或 [::1] 仍會走代理，可能讓攻擊者碰到內部服務，請升級。

Axios 的 NO_PROXY 繞過漏洞資訊圖卡：寫成 localhost. 或 [::1] 就繞過 NO_PROXY，升級到 1.15.0 以上

先用白話講：NO_PROXY 是什麼？

想像公司規定：對外寄信一律要經過總機（代理伺服器）檢查，但寄給「同一棟樓內的同事」可以直接送，不用經過總機。NO_PROXY 就是那份「不用經過總機」的名單，通常會放 localhost 這種本機位址。

這次的漏洞是：Axios 比對名單時用「逐字比較」。如果你把地址寫成 localhost.（結尾多一個點，在 DNS 裡其實和 localhost 是同一個地方），或是 IPv6 寫法的 [::1]，Axios 認不出它們是本機，就照樣送去總機。

來源	評分
GitHub 公告	4.8（中等）
NVD 資料列出的一個評分	9.9（嚴重）

這是我查詢時看到的數字，之後可能調整。評分差異來自各機構對攻擊條件與影響的判斷不同，這種情況下，建議回到漏洞本身的描述，評估自己的情境。

根據公告描述，我推斷這三個條件同時成立才需要特別緊張（這是我的判讀，不是官方結論）：

做 Nuxt、Node 專案時，Axios 常常是「裝了就忘」的套件，而且很多時候是別的套件間接帶進來的。這則公告提醒我兩件事：一是升級前先用鎖定檔找出所有版本；二是遇到兩個機構評分差很多的漏洞，不要只看最高的那個分數嚇自己，也不要只看最低的那個安心，回到自己的使用情境判斷。

如果你的服務會根據使用者輸入去請求網址（例如抓網頁預覽、Webhook 測試），這類功能本來就是 SSRF 的高風險區，更值得順便檢查。

NO_PROXY 是做什麼的？

一個環境變數，列出「不要經過代理伺服器」的主機，例如 localhost 或內部服務。這個漏洞讓某些寫法的位址被誤判成不在清單內，還是走了代理。

我一定會中嗎？

不一定。依官方描述，風險發生在你有設定代理與 NO_PROXY，而且攻擊者能影響程式要請求的網址時。沒有用代理或請求的網址都是自己寫死的，風險相對低。

為什麼兩邊評分差這麼多？

GitHub 與 NVD 各自評估，對攻擊條件與影響的判斷不同，所以分數不同。實務上可以把它當成提醒：先看漏洞說明與自己的使用情境，再決定處理的急迫性。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。