streamlit-geospatial SSRF cega em pages/7_📦_Web_Map_Service.py

Um atacante pode explorar essa vulnerabilidade para realizar requisições de servidor cego, o que significa que o servidor fará a requisição em nome do atacante, sem que o atacante veja a resposta diretamente. Isso pode ser usado para acessar recursos internos que não são expostos publicamente, como serviços de monitoramento, bancos de dados ou APIs internas. Além disso, o atacante pode usar a SSRF para realizar ataques de escaneamento de rede interna, descobrindo outros serviços e sistemas que podem ser vulneráveis. A exploração bem-sucedida pode levar à exfiltração de dados confidenciais ou à tomada de controle do sistema afetado, dependendo da configuração e dos serviços expostos internamente.

Organizations deploying streamlit-geospatial in production environments, particularly those with sensitive internal services or data, are at risk. Shared hosting environments where multiple Streamlit applications share the same server are also at increased risk, as a vulnerability in one application could potentially be exploited to access resources belonging to other applications.

• python: Monitor for requests originating from the Streamlit application to unusual or internal IP addresses. Use Python's logging module to log outbound requests and analyze for suspicious patterns.

import logging
import requests

logging.basicConfig(level=logging.INFO)

def make_request(url):
    try:
        response = requests.get(url)
        logging.info(f'Request to {url} successful. Status code: {response.status_code}')
        return response.text
    except requests.exceptions.RequestException as e:
        logging.error(f'Request to {url} failed: {e}')
        return None

# Example usage (replace with your actual Streamlit code)
url = input("Enter URL: ")
make_request(url)

• generic web: Examine access and error logs for requests to internal IP addresses or unusual domains originating from the Streamlit application's server. Look for patterns indicative of SSRF attempts. • generic web: Check response headers for unexpected content or redirects that might indicate SSRF exploitation.

1. 2024-07-26Disclosure

   disclosure

1. Reservado2024-07-15
2. Publicada2024-07-26
3. Modificada2024-08-02
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2024-41118 é atualizar a biblioteca streamlit-geospatial para a versão corrigida c4f81d9616d40c60584e36abb15300853a66e489. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso à rede interna a partir da aplicação Streamlit, utilizando firewalls ou listas de permissão. Além disso, configure um Web Application Firewall (WAF) para bloquear requisições suspeitas que possam indicar uma tentativa de SSRF. Monitore os logs da aplicação e do servidor em busca de atividades anormais, como requisições para endereços IP internos inesperados. Após a atualização, confirme a correção verificando se a aplicação não permite mais requisições para destinos arbitrários.