Rekorはソフトウェアサプライチェーンの透明性ログです。バージョン1.4.3およびそれ以下のバージョンでは、/api/v1/index/retrieveがユーザー提供のURLを介して公開鍵を取得することをサポートしているため、攻撃者は任意の内部サービスへのSSRFを引き起こす可能性があります。SSRFはGETリクエストのみをトリガーできるため、リクエストは状態を変更できません。GETリクエストからの応答は呼び出し元に返されないため、データの持ち出しは不可能です。悪意のある攻撃者はブラインドSSRFを通じて内部ネットワークを探査しようと試みる可能性があります。この問題はバージョン1.5.0で修正されました。この問題の回避策として、--enable_retrieve_api=falseを使用して検索エンドポイントを無効化してください。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。