Vulnerabilidad SSRF en txtdot en /get

Un atacante que explote esta vulnerabilidad puede utilizar el servidor txtdot como un punto de partida para escanear y acceder a recursos internos que normalmente no serían accesibles desde el exterior. Esto podría incluir la lectura de archivos de configuración, la interacción con servicios internos o incluso la ejecución de comandos en otros sistemas si txtdot tiene acceso a ellos. El alcance del impacto depende de la configuración de la red interna y de los permisos del usuario bajo el cual se ejecuta txtdot. La capacidad de realizar solicitudes arbitrarias a través del servidor txtdot abre la puerta a una amplia gama de ataques, incluyendo la recolección de información sensible y el posible movimiento lateral dentro de la red.

Organizations running txtdot versions prior to 1.7.0, particularly those with sensitive internal resources accessible via HTTP, are at risk. Shared hosting environments where txtdot is deployed alongside other applications could also be vulnerable, as an attacker could potentially exploit the SSRF vulnerability to access resources belonging to other tenants.

• nodejs / server:

  ps aux | grep txtdot

• nodejs / server:

  journalctl -u txtdot --since "1 hour ago"

• generic web:

  curl -I http://<txtdot_server>/get?url=http://internal_resource

• generic web: Review access logs for unusual outbound requests originating from the txtdot server's IP address.

1. 2024-07-26Disclosure

   disclosure

1. Reservado2024-07-22
2. Publicada2024-07-26
3. Modificada2024-08-02
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-41812 es actualizar txtdot a la versión 1.7.0 o superior, que mitiga la visualización de la respuesta de las solicitudes forjadas. Sin embargo, es importante destacar que esta actualización no impide el envío de las solicitudes. Como medida adicional, se recomienda implementar un firewall entre el servidor txtdot y los recursos internos de la red. Esto limitará la capacidad del atacante para acceder a información sensible, incluso si la solicitud forjada se realiza con éxito. Se debe configurar el firewall para bloquear todo el tráfico saliente desde txtdot, excepto el tráfico destinado a los recursos necesarios para su funcionamiento.