Starletteは軽量なASGIフレームワーク／ツールキットです。バージョン1.0.1およびそれ以前では、Windows上のStaticFilesがSSRFに対して脆弱でした。\attacker.com\shareのようなUNCパスは、パスが拒否される前にos.path.realpathがアウトバウンドのSMB接続を開始する原因となりました。その結果、HTTPレスポンスが404であってもサービスアカウントのNTLMv2認証情報がオフラインでの解析やリレーにさらされる可能性があります。この問題は、follow_symlink=Falseのデフォルト設定で導入されており、Starlette上に構築されたFastAPIなどのフレームワークも影響を受けます。一方、POSIXシステムおよびfollow_symlink=Trueの環境には影響がありません。この問題はバージョン1.1.0で修正されました。

ベンダ情報を参照して適切な対策を実施してください。