平台
python
组件
ghsl-2023-186_ghsl-2023-189_benbusby_whoogle-search
修复版本
0.8.5
Whoogle Search是一款开源的自托管元搜索引擎。在0.8.4版本之前，app/routes.py中的element方法未对用户控制的srctype和elementurl变量进行验证，并将其传递给request.py中第339-343行的send方法，从而发起GET请求。这导致了服务器端请求伪造（SSRF）漏洞，允许攻击者代表服务器构造GET请求访问内部和外部资源。此漏洞可能导致敏感信息泄露。
该SSRF漏洞允许攻击者利用Whoogle Search服务器作为代理，访问其能够访问的内部网络资源，即使这些资源通常对外部用户不可见。攻击者可以利用此漏洞扫描内部网络，发现隐藏的服务和应用程序，并尝试利用这些服务的其他漏洞。此外，攻击者还可以利用此漏洞访问外部资源，例如云存储服务、API端点等，从而窃取敏感数据或执行恶意操作。由于CVSS评分为9.1（极危），该漏洞的潜在影响非常严重，可能导致数据泄露、系统入侵等严重后果。
该漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，预计未来可能会出现利用案例。建议密切关注安全社区的动态，及时采取应对措施。该漏洞尚未被添加到CISA KEV目录。
Organizations running self-hosted Whoogle Search instances, particularly those with internal services accessible via the server, are at risk. Shared hosting environments where Whoogle Search is deployed alongside other applications should be carefully assessed, as a compromised Whoogle Search instance could potentially be used to attack other services on the same server.
• python / server:
# Check for Whoogle Search version
python3 -c 'import whoogle; print(whoogle.__version__)'• generic web:
curl -I http://your-whoogle-instance/element?src_type=image&element_url=http://169.254.169.254/ | grep Server• generic web:
curl -I http://your-whoogle-instance/element?src_type=image&element_url=http://localhost:8080/ | grep Serverdisclosure
漏洞利用状态
EPSS
0.44% (63% 百分位)
CVSS 向量
解决此漏洞的最佳方法是立即升级到Whoogle Search 0.8.4版本或更高版本。如果升级会破坏现有配置，可以考虑回滚到之前的稳定版本，并实施额外的安全措施。此外，可以配置Web应用防火墙（WAF）或代理服务器，以过滤恶意请求，阻止SSRF攻击。例如，可以配置WAF阻止对内部IP地址范围的请求。还应定期审查Whoogle Search的配置，确保其遵循最佳安全实践。
将 Whoogle Search 更新到 0.8.4 或更高版本。此版本修复了服务器端请求伪造 (SSRF) 漏洞。更新将防止攻击者通过服务器向内部或外部资源发起请求。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-22203是一个服务器端请求伪造（SSRF）漏洞，影响到Whoogle Search 0.8.4之前的版本。攻击者可以利用此漏洞代表服务器构造GET请求访问内部和外部资源。
如果您正在使用Whoogle Search 0.8.4或更早版本，则您可能受到此漏洞的影响。请立即升级到最新版本。
修复此漏洞的最佳方法是升级到Whoogle Search 0.8.4或更高版本。如果升级会破坏现有配置，可以考虑回滚到之前的稳定版本，并实施额外的安全措施。
目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，预计未来可能会出现利用案例。
请访问Whoogle Search的官方GitHub仓库或官方网站，查找有关此漏洞的公告和修复说明。
上传你的 requirements.txt 文件，立即知道是否受影响。