CVE-2022-0990

SSRF w Calibre-Web umożliwiający nieautoryzowany dostęp do zasobów serwera

CVSS 9.1v3.1pub. 2022-04-04upd. 2024-11-21

Podatność typu Server-Side Request Forgery (SSRF) w aplikacji Calibre-Web (repozytorium janeczku/calibre-web) w wersjach przed 0.6.18 pozwala nieuwierzytelnionemu atakującemu na wymuszenie żądań HTTP po stronie serwera. Wysoki wynik CVSS 9.1 wynika z braku wymagań co do uwierzytelnienia oraz możliwości uzyskania poufnych informacji lub modyfikacji danych.

▸ Pokaż oryginał (EN)

Server-Side Request Forgery (SSRF) in GitHub repository janeczku/calibre-web prior to 0.6.18.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie sieciowe do podatnego endpointu aplikacji Calibre-Web, wskazując jako cel URL zasób wewnętrzny lub zewnętrzny. Serwer wykonuje żądanie w imieniu atakującego, bez weryfikacji, czy docelowy adres jest dozwolony. Umożliwia to ominięcie kontroli dostępu sieciowego i odpytywanie zasobów niedostępnych bezpośrednio z zewnątrz, takich jak wewnętrzne usługi infrastruktury lub metadane środowiska chmurowego.

Skutki

Atakujący może uzyskać dostęp do poufnych zasobów wewnętrznej sieci (wysoki wpływ na poufność) oraz potencjalnie modyfikować dane lub wywoływać akcje na wewnętrznych usługach (wysoki wpływ na integralność). Podatność może być wykorzystana do rekonesansu infrastruktury lub ataku na inne systemy niewidoczne z zewnątrz.

Mitygacja

Należy zaktualizować Calibre-Web do wersji 0.6.18 lub nowszej, w której zastosowano poprawkę dostępną w commicie 4545f4a20d9ff90b99bbd4e3e34b6de4441d6367 na GitHub. Do czasu aktualizacji zaleca się ograniczenie dostępu do instancji Calibre-Web wyłącznie do zaufanych sieci oraz blokowanie wychodzących połączeń HTTP z serwera aplikacji na poziomie firewall.