プラットフォーム
python
コンポーネント
whoogle-search
修正版
0.8.5
Whoogle Searchは、セルフホスト型のメタサーチエンジンです。バージョン0.8.3以前には、windowエンドポイントにおける入力値のサニタイズ不備により、サーバーサイドリクエストフォージング（SSRF）の脆弱性が存在します。この脆弱性を悪用されると、攻撃者はWhoogle Searchサーバーを偽装して、内部ネットワーク上のリソースにアクセスできる可能性があります。影響を受けるバージョンは0.8.4以前であり、バージョン0.8.4へのアップデートで修正されています。
このSSRF脆弱性は、攻撃者がWhoogle Searchサーバーを悪用し、内部ネットワーク上の機密情報にアクセスする可能性があります。例えば、内部APIエンドポイント、データベース、または他の内部サービスへのアクセスが可能になる場合があります。攻撃者は、Whoogle Searchサーバーがアクセスできる範囲で、外部リソースへのリクエストも偽装できます。この脆弱性は、Whoogle Searchサーバーが配置されているネットワークのセキュリティ全体に影響を及ぼす可能性があります。類似のSSRF脆弱性は、内部ネットワークへの不正アクセスや情報漏洩につながる可能性があります。
この脆弱性は2024年1月23日に公開されました。現時点では、公開されているPoCは確認されていませんが、SSRF脆弱性は一般的に悪用されやすいと考えられます。CISAのKEVカタログへの登録状況は不明です。NVD（National Vulnerability Database）も同様に、現時点では登録されていません。
Self-hosted Whoogle Search deployments are at direct risk. Users who have not implemented network segmentation or access controls on their Whoogle Search servers are particularly vulnerable, as an attacker could potentially leverage the SSRF to access a wide range of internal resources. Those using older, unpatched versions of Whoogle Search are most exposed.
• linux / server:
journalctl -u whoogle_search -f | grep -i "request: GET"• generic web:
curl -I http://your-whoogle-instance/window?location=http://169.254.169.254/ | grep -i "Server"disclosure
エクスプロイト状況
EPSS
0.30% (53% パーセンタイル)
CVSS ベクトル
この脆弱性への最善の対応は、Whoogle Searchをバージョン0.8.4にアップデートすることです。アップデートできない場合は、Whoogle Searchサーバーのファイアウォールを設定し、外部からの不要なリクエストをブロックしてください。また、Whoogle Searchサーバーがアクセスできる内部リソースを最小限に抑えることで、攻撃の影響範囲を制限できます。WAF（Web Application Firewall）を使用している場合は、SSRF攻撃を検出およびブロックするルールを設定することを検討してください。
Whoogle Searchをバージョン0.8.4以降にアップデートしてください。このバージョンでは、`window`エンドポイントにおけるユーザー入力のサニタイズにより、Server Side Request Forgery (SSRF) 脆弱性が修正されています。アップデートすることで、攻撃者がサーバー経由で内部または外部リソースへのリクエストを実行することを防ぎます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-22205は、Whoogle Searchのバージョン0.8.3以前に存在するサーバーサイドリクエストフォージング（SSRF）の脆弱性です。攻撃者はWhoogle Searchサーバーを偽装して内部ネットワークリソースにアクセスできます。
はい、Whoogle Searchのバージョン0.8.4以前を使用している場合は影響を受けます。攻撃者は内部ネットワーク上の機密情報にアクセスできる可能性があります。
Whoogle Searchをバージョン0.8.4にアップデートしてください。アップデートできない場合は、ファイアウォール設定やWAFルールで対策を講じてください。
現時点では、公開されているPoCは確認されていませんが、SSRF脆弱性は一般的に悪用されやすいと考えられます。
Whoogle Searchの公式アドバイザリは、Whoogle SearchのGitHubリポジトリで確認できます。
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。