MaxKB heeft SSRF in sandbox

Een succesvolle exploitatie van deze SSRF-kwetsbaarheid kan aanzienlijke gevolgen hebben. Aanvallers kunnen interne netwerkdiensten, zoals databases, benaderen zonder authenticatie. Dit kan leiden tot ongeautoriseerde toegang tot gevoelige data, configuratiegegevens en andere kritieke informatie. Hoewel het proces in een sandbox draait, kan een misconfiguratie of onvoorziene interactie de sandbox omzeilen, waardoor de impact aanzienlijk toeneemt. De mogelijkheid tot laterale beweging binnen het interne netwerk is aanwezig, waardoor de aanval zich verder kan verspreiden.

Organizations utilizing MaxKB for AI-powered enterprise applications are at risk, particularly those with internal databases or services accessible via HTTP or other protocols. Environments with weak network segmentation or limited WAF protection are especially vulnerable. Users relying on MaxKB for sensitive data processing should prioritize patching.

• python / server:

import requests
import urllib3

http = urllib3.PoolManager()

def check_ssrf(url):
    try:
        r = http.request('GET', url, timeout=3)
        if r.status == 200:
            print(f"[+] SSRF possible: {url}")
        else:
            print(f"[-] SSRF not detected: {url}")
    except Exception as e:
        print(f"[-] Error checking {url}: {e}")

# Example usage (replace with internal URLs)
check_ssrf('http://localhost:5432')
check_ssrf('http://127.0.0.1:8080')

• generic web:

curl -I http://<maxkb_server>/tool/module?url=http://localhost:5432 | grep HTTP/1.1

1. 2025-11-13Disclosure

   disclosure

1. Gereserveerd2025-11-05
2. Gepubliceerd2025-11-13
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2025-64511 is het updaten van MaxKB naar versie 2.3.1 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke workarounds zoals het implementeren van een Web Application Firewall (WAF) met regels die SSRF-aanvallen detecteren en blokkeren. Beperk de toegang tot interne netwerkdiensten via netwerksegmentatie en firewallregels. Controleer de configuratie van de sandbox om er zeker van te zijn dat deze correct is geïmplementeerd en alle potentiële ontsnappingsroutes zijn afgedekt. Na de upgrade, verifieer de fix door te proberen interne netwerkdiensten te benaderen via de tool module; dit zou moeten mislukken.