Plataforma
other
Componente
calibre
Corrigido em
7.14.1
A vulnerabilidade CVE-2024-6781 é um problema de acesso arbitrário de arquivos descoberto no Calibre, um software popular para gerenciamento de e-books. Essa falha permite que atacantes não autenticados leiam arquivos arbitrários no sistema onde o Calibre está instalado. A vulnerabilidade afeta as versões 7.14.0 a 7.14.0 e foi corrigida na versão 7.14.1.
Um atacante pode explorar essa vulnerabilidade para ler arquivos confidenciais armazenados no mesmo diretório do Calibre ou em diretórios acessíveis pelo processo do Calibre. Isso pode incluir arquivos de configuração, bancos de dados, documentos pessoais ou outros dados sensíveis. A exploração bem-sucedida pode levar à divulgação de informações confidenciais, comprometimento da privacidade e, potencialmente, à escalada de privilégios, dependendo das permissões do usuário que executa o Calibre. A ausência de autenticação necessária para explorar a vulnerabilidade aumenta significativamente o risco, tornando-a acessível a qualquer usuário na rede ou até mesmo remotamente, se o Calibre estiver exposto na internet.
A vulnerabilidade foi divulgada em 06 de agosto de 2024. Não há informações disponíveis sobre exploração ativa ou inclusão no KEV (CISA Known Exploited Vulnerabilities) no momento da redação. A existência de um Proof of Concept (PoC) público pode aumentar a probabilidade de exploração, portanto, a aplicação das medidas de mitigação é altamente recomendada.
Users running Calibre version 7.14.0 are at immediate risk. This includes individuals using Calibre for personal e-book management and organizations deploying Calibre servers for library management. Shared hosting environments where Calibre is installed are particularly vulnerable, as multiple users may have access to the same instance.
• other / general: Monitor Calibre logs for unusual file access attempts. Look for requests targeting files outside of the expected Calibre data directories.
grep -i 'path traversal' /var/log/calibre/calibre.logdisclosure
Status do Exploit
EPSS
93.77% (percentil 100%)
CISA SSVC
Vetor CVSS
A mitigação primária para CVE-2024-6781 é atualizar o Calibre para a versão 7.14.1 ou superior. Se a atualização imediata não for possível, considere restringir o acesso ao diretório de dados do Calibre, removendo permissões de leitura para usuários não autorizados. Implementar um Web Application Firewall (WAF) com regras para bloquear solicitações que contenham caminhos de arquivo suspeitos pode oferecer uma camada adicional de proteção. Monitore os logs do Calibre em busca de tentativas de acesso a arquivos não autorizados.
Actualice Calibre a una versión posterior a 7.14.0 para corregir la vulnerabilidad de path traversal. Esto evitará que atacantes no autenticados lean archivos arbitrarios en el sistema. Descargue la última versión desde el sitio web oficial de Calibre.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-6781 is a vulnerability in Calibre versions 7.14.0–7.14.0 that allows unauthenticated attackers to read arbitrary files on the system, potentially exposing sensitive data. It is rated as HIGH severity.
If you are using Calibre version 7.14.0, you are affected by this vulnerability. Upgrade to version 7.14.1 or later to mitigate the risk.
The recommended fix is to upgrade Calibre to version 7.14.1 or a later version. This resolves the path traversal vulnerability.
While no public exploits are currently known, the ease of exploitation suggests that it may be targeted. It's crucial to apply the patch promptly.
Refer to the Calibre project's official website and security announcements for the latest information and advisory regarding CVE-2024-6781: https://calibre-ebook.com/
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.