Firecrawl में दुर्भावनापूर्ण स्क्रैप लक्ष्य के माध्यम से SSRF भेद्यता है

यह SSRF भेद्यता हमलावरों को Firecrawl वेब स्क्रैपर के माध्यम से स्थानीय नेटवर्क संसाधनों तक पहुंचने की अनुमति देती है। एक हमलावर एक दुर्भावनापूर्ण साइट बनाकर ऐसा कर सकता है जो एक स्थानीय IP पते पर रीडायरेक्ट करती है। इससे आंतरिक सेवाओं और डेटा का अनाधिकृत प्रकटीकरण हो सकता है। चूंकि Firecrawl का उपयोग बड़े भाषा मॉडल के लिए वेब सामग्री निकालने के लिए किया जाता है, इसलिए इस भेद्यता का उपयोग संवेदनशील जानकारी को उजागर करने के लिए किया जा सकता है जो मॉडल को प्रशिक्षित करने के लिए उपयोग की जा रही है। यह भेद्यता संभावित रूप से डेटा उल्लंघनों और अन्य सुरक्षा घटनाओं का कारण बन सकती है।

Organizations utilizing Firecrawl for web scraping, particularly those deploying it within internal networks or behind firewalls, are at risk. Environments where Firecrawl is used to process data from untrusted sources are especially vulnerable. Shared hosting environments where multiple users share a single Firecrawl instance could also be impacted.

• nodejs / server:

  ps aux | grep firecrawl
  journalctl -u firecrawl | grep -i "request to"

• generic web:

  curl -I <firecrawl_endpoint> | grep -i "server"
  grep -i "request to" /var/log/nginx/access.log

1. 2024-12-30Disclosure

   disclosure

2. 2024-12-27Patch

   patch

1. आरक्षित2024-12-30
2. प्रकाशित2024-12-30
3. EPSS अद्यतन2026-04-02

CVE-2024-56800 को कम करने के लिए, Firecrawl को संस्करण 1.1.1 में अपग्रेड करना आवश्यक है। यदि अपग्रेड करना संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके SSRF हमलों को ब्लॉक करने का प्रयास किया जा सकता है। इसके अतिरिक्त, आंतरिक नेटवर्क संसाधनों तक Firecrawl की पहुंच को सीमित करने के लिए कॉन्फ़िगरेशन परिवर्तन किए जा सकते हैं। Firecrawl के ओपन-सोर्स संस्करण में स्क्रैपिंग इंजन को 29 दिसंबर को पैच किया गया था। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, आंतरिक संसाधनों तक पहुंच प्रतिबंधित है, और WAF नियमों को ठीक से कॉन्फ़िगर किया गया है।