Lecture arbitraire de fichier dans Calibre

L'exploitation réussie de cette vulnérabilité permet à un attaquant non authentifié de contourner les mécanismes de sécurité et d'accéder à des fichiers situés en dehors du répertoire prévu. Cela peut inclure des fichiers de configuration, des bases de données, ou même des données sensibles des utilisateurs. L'attaquant pourrait potentiellement extraire des informations confidentielles, compromettre la confidentialité des données, ou même exécuter du code malveillant si des fichiers exécutables sont accessibles. Bien qu'il n'y ait pas de rapports d'exploitation active à ce jour, la simplicité de l'exploitation rend cette vulnérabilité particulièrement préoccupante.

Users running Calibre version 7.14.0 are at immediate risk. This includes individuals using Calibre for personal e-book management and organizations deploying Calibre servers for library management. Shared hosting environments where Calibre is installed are particularly vulnerable, as multiple users may have access to the same instance.

• other / general: Monitor Calibre logs for unusual file access attempts. Look for requests targeting files outside of the expected Calibre data directories.

grep -i 'path traversal' /var/log/calibre/calibre.log

1. 2024-08-06Disclosure

   disclosure

1. Réservé2024-07-16
2. Publiée2024-08-06
3. EPSS mis à jour2026-04-02

La solution la plus efficace est de mettre à jour Calibre vers la version 7.14.1 ou ultérieure, qui corrige cette faille. En attendant la mise à jour, une mesure d'atténuation consiste à restreindre l'accès au répertoire de données de Calibre. Cela peut être réalisé en configurant les permissions du système d'exploitation pour limiter l'accès aux fichiers et répertoires sensibles. Il est également recommandé de surveiller les journaux d'accès pour détecter toute tentative d'accès non autorisé aux fichiers. Après la mise à jour, vérifiez l'intégrité des fichiers Calibre pour confirmer la correction.