CVE-2022-0767

SSRF w Calibre-Web umożliwiający dostęp do wewnętrznych zasobów

CVSS 9.9v3.1pub. 2022-03-07upd. 2024-11-21

Podatność typu Server-Side Request Forgery (SSRF) w aplikacji Calibre-Web pozwala nieuwierzytelnionemu atakującemu na skłonienie serwera do wykonywania żądań HTTP do dowolnych zasobów sieciowych. Wysoka ocena CVSS 9.9 z wpływem na poufność, integralność i dostępność czyni tę podatność krytyczną.

▸ Pokaż oryginał (EN)

Server-Side Request Forgery (SSRF) in GitHub repository janeczku/calibre-web prior to 0.6.17.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie do podatnego endpointu aplikacji Calibre-Web, wstrzykując adres URL wskazujący na wewnętrzne zasoby sieci (np. usługi dostępne wyłącznie lokalnie lub w sieci wewnętrznej). Serwer aplikacji wykonuje żądanie w imieniu atakującego, bez odpowiedniej walidacji i filtrowania podanego adresu. Podatność nie wymaga uwierzytelnienia ani interakcji użytkownika, a jej zasięg wykracza poza samą aplikację (Scope: Changed), co oznacza możliwość wpływu na inne systemy w środowisku sieciowym.

Skutki

Atakujący może uzyskać dostęp do wewnętrznych usług i zasobów sieciowych niedostępnych publicznie, a także potencjalnie ujawnić poufne dane, zmodyfikować stan wewnętrznych usług lub doprowadzić do ich niedostępności.

Mitygacja

Należy zaktualizować Calibre-Web do wersji 0.6.17 lub nowszej, w której wprowadzono poprawkę (commit 965352c8d96c9eae7a6867ff76b0db137d04b0b8). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do instancji Calibre-Web oraz izolację serwera aplikacji od wewnętrznych zasobów sieciowych za pomocą reguł firewall.

Kogo dotyczy

Calibre-Web (repozytorium janeczku/calibre-web) we wszystkich wersjach wcześniejszych niż 0.6.17

Uwagi

Podatność została zgłoszona za pośrednictwem platformy huntr.dev (program bug bounty). Poprawka dostępna jest jako commit 965352c8d96c9eae7a6867ff76b0db137d04b0b8 w repozytorium GitHub projektu.