何が起きたか
NVD REST API経由で検証済み（公開日 2026-10-14、CVSS 7.2 v3.1 / 6.9 v4.0）。ゲートウェイのカスタムホスト許可リストは、TRUSTED_CUSTOM_HOSTSが設定されている場合にのみフェイルクローズします。それ以外の場合は、localhostスタイルのホストがデフォルトで信頼されるため、未認証のリクエストがゲートウェイの権限で内部HTTPサービスに到達できます。
なぜ重要か
AIゲートウェイは、プロバイダーAPIキーと内部ネットワーク上の位置を保持する信頼されたプロキシです。ゲートウェイからのSSRFは、内部サービスの読み取りに使用でき、コンテナ化されたデプロイメントでは、Dockerホストネットワークとクラウドメタデータに到達できます—「到達可能なゲートウェイ」から内部AIインフラストラクチャと認証情報への足がかりとなります。TRUSTED_CUSTOM_HOSTSを明示的に設定し、ゲートウェイのエグレスを制限してください。
攻撃経路
細工されたx-portkey-custom-hostヘッダー（例：ollamaプロバイダー経由）を持つ未認証の/v1リクエストがSSRFフィルターに到達します：isValidCustomHostは、TRUSTED_CUSTOM_HOSTSが未設定の場合、localhostスタイルのホストを信頼するため、攻撃者はゲートウェイにループバックおよびDockerホストサービスをフェッチさせ、その応答を反映させることができます（CWE-918）。
影響を受けるシステム
@portkey-ai/gateway 1.14.0 から 1.15.2
緩和策
1.15.2以降の修正済みビルドにアップグレードしてください。TRUSTED_CUSTOM_HOSTSを明示的な許可リストに設定してください（未設定のままにしないでください）。アウトバウンドエグレスを制限し、ゲートウェイをネットワーク制御の背後に配置してください。VulnCheckアドバイザリ + hackmd writeup。