Platform
python
Component
calibreweb
Opgelost in
0.6.17
0.6.17
CVE-2022-0767 beschrijft een server-side request forgery (SSRF) kwetsbaarheid in calibreweb versies tot en met 0.6.16. Deze kwetsbaarheid maakt het mogelijk voor een aanvaller om, via een HTTP redirect, verzoeken naar interne resources te sturen, potentieel met ernstige gevolgen voor de beveiliging. De kwetsbaarheid is verholpen in versie 0.6.17, en een update wordt sterk aanbevolen.
De SSRF-kwetsbaarheid in calibreweb stelt een aanvaller in staat om interne services en resources te benaderen die normaal gesproken niet toegankelijk zijn vanaf het openbare internet. Door een HTTP redirect te manipuleren, kan een aanvaller calibreweb dwingen om verzoeken naar localhost te sturen, waardoor toegang tot interne applicaties, databases of andere gevoelige systemen mogelijk wordt. Dit kan leiden tot data-exfiltratie, configuratie wijzigingen of zelfs volledige controle over interne systemen. De impact is vergelijkbaar met andere SSRF-aanvallen waarbij interne netwerkbronnen blootgesteld worden.
CVE-2022-0767 werd publiekelijk bekendgemaakt op 8 maart 2022. Er zijn momenteel geen bekende actieve campagnes die deze kwetsbaarheid uitbuiten, maar de CRITICAL severity score duidt op een hoog risico. Er zijn geen publieke proof-of-concept exploits beschikbaar op het moment van schrijven, maar de relatieve eenvoud van SSRF-aanvallen maakt het waarschijnlijk dat er in de toekomst exploits zullen verschijnen. De kwetsbaarheid is opgenomen in het CISA KEV catalogus.
Organizations running calibreweb versions prior to 0.6.17, particularly those with internal services accessible from localhost, are at risk. Shared hosting environments where calibreweb is installed alongside other applications are also vulnerable, as a compromise of one application could potentially lead to SSRF exploitation through calibreweb.
• python / server:
# Check calibreweb version
python -c 'import calibreweb; print(calibreweb.__version__)'• generic web:
# Check for redirect URLs in access logs
grep -i 'redirect=' /var/log/apache2/access.logdisclosure
patch
Exploit Status
EPSS
0.20% (42% percentiel)
CVSS-vector
De primaire mitigatie voor CVE-2022-0767 is het updaten van calibreweb naar versie 0.6.17 of hoger. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van een Web Application Firewall (WAF) die HTTP redirects filtert en blokkeert. Controleer ook de configuratie van calibreweb om te verzekeren dat er geen onnodige interne services worden blootgesteld. Na de upgrade, controleer de calibreweb logs op verdachte verzoeken die wijzen op pogingen tot SSRF-exploitatie.
Werk calibre-web bij naar versie 0.6.17 of hoger. Deze versie bevat een correctie voor de SSRF-vulnerability. De update kan worden uitgevoerd via de pip package manager of door de laatste versie van de GitHub repository te downloaden en de bestanden te vervangen.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2022-0767 is een server-side request forgery (SSRF) kwetsbaarheid in calibreweb versies tot en met 0.6.16, waardoor aanvallers interne resources kunnen benaderen via HTTP redirects.
Ja, als u calibreweb gebruikt in versie 0.6.16 of lager, bent u getroffen door deze kwetsbaarheid.
Upgrade calibreweb naar versie 0.6.17 of hoger om de kwetsbaarheid te verhelpen. Indien een upgrade niet mogelijk is, implementeer dan een WAF om HTTP redirects te filteren.
Er zijn momenteel geen bekende actieve campagnes die deze kwetsbaarheid uitbuiten, maar de CRITICAL severity score duidt op een hoog risico.
Raadpleeg de calibreweb website of GitHub repository voor het officiële advisory en release notes.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.