curl_cffi: रीडायरेक्ट-आधारित SSRF आंतरिक नेटवर्क एक्सेस की ओर ले जाता है curl_cffi में (TLS पहचान बाईपास के साथ)

यह भेद्यता हमलावरों के लिए आंतरिक नेटवर्क संसाधनों तक पहुँचने का एक सीधा मार्ग खोलती है। curl-cffi के माध्यम से भेजे गए अनुरोधों को हमलावर नियंत्रित URL के माध्यम से रीडायरेक्ट किया जा सकता है, जिससे वे आंतरिक सेवाओं, जैसे कि क्लाउड मेटाडेटा एंडपॉइंट तक पहुँच सकते हैं। TLS इम्प्रर्सन सुविधा का उपयोग करके, ये अनुरोध वैध ब्राउज़र ट्रैफ़िक के रूप में दिखाई दे सकते हैं, जिससे नेटवर्क सुरक्षा नियंत्रणों को बायपास करना आसान हो जाता है। उदाहरण के लिए, हमलावर संवेदनशील कॉन्फ़िगरेशन डेटा प्राप्त कर सकते हैं, आंतरिक सेवाओं को नियंत्रित कर सकते हैं, या अन्य आंतरिक प्रणालियों में आगे बढ़ सकते हैं। इस भेद्यता का उपयोग अन्य भेद्यताओं का फायदा उठाने के लिए भी किया जा सकता है, जिससे सिस्टम पर नियंत्रण प्राप्त हो सकता है।

Applications and services that rely on the curl-cffi Python library for making HTTP requests are at risk. This includes web applications, automation scripts, and any other Python-based tools that utilize curl-cffi. Specifically, environments where curl-cffi is used to interact with cloud metadata endpoints or other internal services are particularly vulnerable.

• python / library:

import subprocess
result = subprocess.run(['pip', 'show', 'curl-cffi'], capture_output=True, text=True)
if 'Version:' in result.stdout:
    version = result.stdout.split('Version:')[1].strip().split('\n')[0]
    if version <= '0.9.0b2':
        print('Vulnerable version of curl-cffi detected!')

• generic web:

curl -I https://your-application-url/ | grep -i 'Server:'

• generic web:

curl -I https://your-application-url/ | grep -i 'X-Powered-By:'

1. 2026-04-03Disclosure

   disclosure

1. आरक्षित2026-03-23
2. प्रकाशित2026-04-03
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-14

CVE-2026-33752 को कम करने के लिए, curl-cffi को तुरंत 0.15.0 या बाद के संस्करण में अपडेट करना महत्वपूर्ण है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके आंतरिक IP रेंज के अनुरोधों को ब्लॉक किया जा सकता है। इसके अतिरिक्त, curl-cffi के TLS इम्प्रर्सन सुविधा को अक्षम करने पर विचार करें। जाँच करें कि curl-cffi का उपयोग करने वाले सभी एप्लिकेशन आंतरिक IP रेंज के अनुरोधों को ठीक से संभाल रहे हैं। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, आंतरिक सेवाओं तक पहुँचने का प्रयास करके सत्यापित करें।