Oliver Library Server v5 - Descarga Arbitraria de Archivos

Un atacante puede explotar esta vulnerabilidad para descargar archivos confidenciales del servidor, incluyendo contraseñas, claves de cifrado, información de configuración y datos de usuarios. El acceso no autenticado significa que no se requiere ninguna credencial para realizar la explotación, lo que aumenta significativamente el riesgo. La capacidad de acceder a archivos arbitrarios podría permitir a un atacante obtener un conocimiento profundo de la infraestructura del servidor, facilitando ataques posteriores, como la modificación de archivos de configuración o la ejecución de código malicioso. Aunque no se han reportado casos de explotación pública, la facilidad de explotación y la sensibilidad de los datos potencialmente accesibles la convierten en una amenaza significativa.

Organizations running Oliver Library Server, particularly those with publicly accessible instances or those lacking robust web application firewalls, are at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as an attacker could potentially exploit this vulnerability to access files belonging to other users.

• linux / server:

journalctl -u oliver_library_server -g 'FileServlet' | grep -i 'fileName='

• generic web:

curl -I 'http://<server_ip>/oliver/FileServlet?fileName=<suspicious_filename>' | grep '200 OK'

1. 2026-01-15Disclosure

   disclosure

1. Reservado2026-01-10
2. Publicada2026-01-15
3. Modificada2026-04-07
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2021-47755 es actualizar Oliver Library Server a la versión 8.00.008.053 o superior, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, considere implementar reglas en un firewall de aplicaciones web (WAF) para bloquear solicitudes que manipulen el parámetro 'fileName' de manera sospechosa. Monitoree los registros del servidor en busca de intentos de acceso a archivos inusuales o no autorizados. Revise la configuración del servidor para asegurar que el acceso a archivos sensibles esté restringido a usuarios autorizados.