MaxKB possui SSRF no sandbox

Um atacante pode explorar essa vulnerabilidade para acessar serviços internos da rede que não deveriam ser acessíveis externamente. Isso pode incluir bancos de dados, servidores de administração ou outros sistemas sensíveis. O acesso a esses serviços pode permitir que o atacante roube dados confidenciais, modifique configurações do sistema ou até mesmo obtenha controle sobre o servidor. Embora o processo seja executado em um sandbox, a capacidade de realizar requisições para a rede interna representa um risco significativo, especialmente em ambientes onde a segmentação da rede não é rigorosa. A exploração bem-sucedida pode levar a uma violação de dados ou comprometimento da infraestrutura.

Organizations utilizing MaxKB for AI-powered enterprise applications are at risk, particularly those with internal databases or services accessible via HTTP or other protocols. Environments with weak network segmentation or limited WAF protection are especially vulnerable. Users relying on MaxKB for sensitive data processing should prioritize patching.

• python / server:

import requests
import urllib3

http = urllib3.PoolManager()

def check_ssrf(url):
    try:
        r = http.request('GET', url, timeout=3)
        if r.status == 200:
            print(f"[+] SSRF possible: {url}")
        else:
            print(f"[-] SSRF not detected: {url}")
    except Exception as e:
        print(f"[-] Error checking {url}: {e}")

# Example usage (replace with internal URLs)
check_ssrf('http://localhost:5432')
check_ssrf('http://127.0.0.1:8080')

• generic web:

curl -I http://<maxkb_server>/tool/module?url=http://localhost:5432 | grep HTTP/1.1

1. 2025-11-13Disclosure

   disclosure

1. Reservado2025-11-05
2. Publicada2025-11-13
3. EPSS atualizado2026-03-23

A mitigação primária para CVE-2025-64511 é a atualização para a versão 2.3.1 do MaxKB, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso de rede do processo do MaxKB a apenas os serviços necessários. Utilize firewalls e regras de rede para bloquear o acesso a serviços internos sensíveis. Monitore o tráfego de rede em busca de requisições suspeitas originadas do processo do MaxKB. Após a atualização, verifique se a vulnerabilidade foi corrigida executando testes de penetração ou utilizando ferramentas de varredura de vulnerabilidades.