janeczku/calibre-webにおけるサーバーサイドリクエストフォージェリ (SSRF)

このSSRF脆弱性は、攻撃者がcalibre-webサーバーを介して内部ネットワークリソースにアクセスすることを可能にします。攻撃者は、内部サービスへのリクエストを偽装し、通常は外部からアクセスできないリソースにアクセスできます。例えば、内部データベースや管理インターフェースへのアクセスを試み、機密情報を窃取したり、設定を変更したりする可能性があります。この脆弱性は、内部ネットワークのセキュリティ境界をバイパスし、攻撃者がより深くシステムに侵入する足がかりとなる可能性があります。攻撃者は、内部ネットワーク内の他の脆弱なシステムを標的にし、横展開攻撃を実行する可能性もあります。

Organizations running calibre-web versions prior to 0.6.18, particularly those with sensitive internal resources accessible from the network, are at significant risk. Shared hosting environments where calibre-web is deployed alongside other applications are also vulnerable, as an attacker could potentially exploit the SSRF to gain access to other services on the same server.

• python / server:

  journalctl -u calibre-web | grep -i "Server-Side Request Forgery"

• generic web:

  curl -I <calibre-web-url>/internal-resource  # Check for access to internal resources
  grep -r "http://localhost:8080" /path/to/calibre-web/source-code # Search for hardcoded internal URLs

1. 2022-04-04Disclosure

   disclosure

2. 2022-04-04Patch

   patch

1. 予約済み2022-03-15
2. 公開日2022-04-04
3. 更新日2024-08-02
4. EPSS 更新日2026-04-02

この脆弱性への最良の対応策は、calibre-webをバージョン0.6.18にアップデートすることです。アップデートがすぐに利用できない場合、WAF（Web Application Firewall）を使用して、SSRF攻撃を検出し、ブロックすることができます。WAFのルールを調整し、不審なリクエストを監視し、内部リソースへの不正なアクセスを防止してください。また、calibre-webがアクセスできる内部リソースを制限し、最小権限の原則を適用することも有効です。ネットワークセグメンテーションを実施し、calibre-webサーバーを他の機密システムから分離することも推奨されます。