streamlit-geospatial blinde SSRF in pages/7_📦_Web_Map_Service.py

De SSRF-kwetsbaarheid in streamlit-geospatial maakt het mogelijk voor een aanvaller om willekeurige HTTP-verzoeken uit te voeren vanuit de context van de applicatieserver. Dit kan worden misbruikt om toegang te krijgen tot interne bronnen die normaal gesproken niet toegankelijk zijn vanaf het internet, zoals interne API's, databases of andere services. Een aanvaller kan gevoelige informatie stelen, configuratiebestanden downloaden of zelfs andere systemen in het netwerk aanvallen. De impact is verhoogd omdat de kwetsbaarheid blind is, wat betekent dat de aanvaller geen directe feedback ontvangt van de server, waardoor detectie moeilijker wordt. Het misbruik van deze kwetsbaarheid kan leiden tot een aanzienlijke inbreuk op de vertrouwelijkheid, integriteit en beschikbaarheid van de applicatie en de onderliggende infrastructuur.

Organizations deploying streamlit-geospatial in production environments, particularly those with sensitive internal services or data, are at risk. Shared hosting environments where multiple Streamlit applications share the same server are also at increased risk, as a vulnerability in one application could potentially be exploited to access resources belonging to other applications.

• python: Monitor for requests originating from the Streamlit application to unusual or internal IP addresses. Use Python's logging module to log outbound requests and analyze for suspicious patterns.

import logging
import requests

logging.basicConfig(level=logging.INFO)

def make_request(url):
    try:
        response = requests.get(url)
        logging.info(f'Request to {url} successful. Status code: {response.status_code}')
        return response.text
    except requests.exceptions.RequestException as e:
        logging.error(f'Request to {url} failed: {e}')
        return None

# Example usage (replace with your actual Streamlit code)
url = input("Enter URL: ")
make_request(url)

• generic web: Examine access and error logs for requests to internal IP addresses or unusual domains originating from the Streamlit application's server. Look for patterns indicative of SSRF attempts. • generic web: Check response headers for unexpected content or redirects that might indicate SSRF exploitation.

1. 2024-07-26Disclosure

   disclosure

1. Gereserveerd2024-07-15
2. Gepubliceerd2024-07-26
3. Gewijzigd2024-08-02
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-41118 is het upgraden van de streamlit-geospatial bibliotheek naar versie c4f81d9616d40c60584e36abb15300853a66e489 of hoger. Als een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strenge validatie- en filtering van de URL-input. Dit kan worden bereikt door een whitelist van toegestane domeinen of paden te gebruiken en alle andere verzoeken te blokkeren. Daarnaast kan het gebruik van een Web Application Firewall (WAF) helpen om kwaadaardige verzoeken te detecteren en te blokkeren. Na de upgrade, verifieer de fix door een poging te doen om een verzoek naar een interne of externe bron te sturen via de URL-input en controleer of dit wordt geblokkeerd.