Platform
python
Component
calibreweb
Opgelost in
0.6.17
0.6.17
CVE-2022-0766 beschrijft een server-side request forgery (SSRF) kwetsbaarheid in calibreweb, een webapplicatie voor het beheren van e-bookcollecties. Deze kwetsbaarheid stelt aanvallers in staat om interne resources te benaderen, zoals localhost, door middel van een onvolledige fix voor een eerdere kwetsbaarheid (CVE-2022-0339). De kwetsbaarheid treft versies van calibreweb tot en met 0.6.16. De fix is beschikbaar in versie 0.6.17.
Een succesvolle exploitatie van CVE-2022-0766 kan aanvallers in staat stellen om interne services en data te benaderen die normaal gesproken niet toegankelijk zijn vanaf het internet. Door het manipuleren van de URL kan een aanvaller een verzoek sturen naar localhost, waardoor gevoelige informatie kan worden gelezen of interne acties kunnen worden uitgevoerd. Dit kan leiden tot data-exfiltratie, configuratie wijzigingen of zelfs het compromitteren van de server. De kwetsbaarheid is vergelijkbaar met andere SSRF exploits waarbij interne systemen worden blootgesteld via een onjuist geconfigureerde webapplicatie.
CVE-2022-0766 is een kritieke kwetsbaarheid met een hoge exploitatiekans. Er zijn momenteel geen publieke exploitatiecampagnes bekend, maar de eenvoud van de exploitatie maakt het waarschijnlijk dat er in de toekomst exploits beschikbaar komen. De kwetsbaarheid is opgenomen in het CISA KEV catalogus. Er zijn publieke proof-of-concept exploits beschikbaar.
Organizations and individuals using calibreweb for ebook management, particularly those hosting the application internally or in shared hosting environments, are at risk. Users relying on calibreweb to manage sensitive library data or integrate with internal systems are especially vulnerable.
• linux / server: Monitor calibreweb access logs for requests containing 0.0.0.0 or other suspicious hostnames. Use journalctl -u calibreweb to check for error messages related to request forwarding.
grep '0.0.0.0' /var/log/calibreweb/access.log• generic web: Use curl to attempt a request to calibreweb with 0.0.0.0 as the hostname and verify that it is blocked.
curl -v http://your-calibreweb-server/0.0.0.0disclosure
patch
Exploit Status
EPSS
0.29% (52% percentiel)
CVSS-vector
De primaire mitigatie voor CVE-2022-0766 is het upgraden van calibreweb naar versie 0.6.17 of hoger. Indien een upgrade niet direct mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van een Web Application Firewall (WAF) die verzoeken naar localhost blokkeert. Controleer de configuratie van calibreweb om er zeker van te zijn dat er geen onnodige interne services worden blootgesteld. Monitor de calibreweb logs op verdachte verzoeken die localhost benaderen. Na de upgrade, verifieer de fix door een poging te wagen om een verzoek naar localhost te sturen via calibreweb en controleer of dit wordt geblokkeerd.
Werk calibre-web bij naar versie 0.6.17 of hoger. Deze versie bevat een correctie voor de SSRF-vulnerability. U kunt bijwerken via de Python package manager (pip) of door de update-instructies van de leverancier te volgen.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2022-0766 is a critical server-side request forgery (SSRF) vulnerability in calibreweb versions up to 0.6.16, allowing attackers to send requests to internal resources.
You are affected if you are running calibreweb version 0.6.16 or earlier. Upgrade to 0.6.17 to resolve the vulnerability.
Upgrade calibreweb to version 0.6.17 or later. As a temporary workaround, implement a WAF rule to block requests containing 0.0.0.0.
While there are no confirmed reports of active exploitation, the vulnerability's critical severity makes it a high-priority target.
Refer to the calibreweb GitHub security advisory: https://github.com/advisories/GHSA-4w8p-x6g8-fv64
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.