A2A Java SDK 推送通知存在 SSRF 漏洞

GitHub 安全公告库发布公告称，A2A Java SDK 的 `org.a2aproject.sdk:a2a-java-sdk-server-common` 组件在推送通知投递中存在服务端请求伪造（SSRF）漏洞（CWE-918，GHSA-q78c-5jjq-57g8），可被用来访问云元数据端点。 公告称，该问题在 `main` 分支（commit `72d220c`，JDK 21）上复现，并在 `1.2.0.Final` 版本中仍然存在；触发条件包括使用 `returnImmediately: true`、请求头 `A2A-Version: 1.0` 以及 `ROLE_USER` 角色。 在修复版本发布前，公告给出的缓解办法是在网络层阻断主机向元数据端点及内网地址范围的出站流量。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。