CVE-2024-6781 是 Calibre 电子书管理软件中发现的任意文件读取漏洞。该漏洞允许未经身份验证的攻击者通过路径遍历技术访问服务器上的任意文件，可能导致敏感信息泄露。该漏洞影响 Calibre 版本 7.14.0 至 7.14.0。已发布补丁版本 7.14.1 以解决此问题。
影响与攻击场景
攻击者可以利用此漏洞读取 Calibre 服务器上的任何文件，包括配置文件、数据库文件，甚至可能包含用户凭据或其他敏感信息的文件。如果 Calibre 服务器存储了用户的电子书库，攻击者可能能够访问用户的个人数据。成功利用此漏洞可能导致数据泄露、隐私侵犯，甚至可能被用于进一步攻击。
利用背景
该漏洞已公开披露，存在公开的利用方法。目前尚无关于该漏洞被大规模利用的报告，但由于其易于利用，建议尽快采取缓解措施。CISA 尚未将其添加到 KEV 目录中。NVD 发布日期为 2024-08-06。
哪些人处于风险中翻译中…
Users running Calibre version 7.14.0 are at immediate risk. This includes individuals using Calibre for personal e-book management and organizations deploying Calibre servers for library management. Shared hosting environments where Calibre is installed are particularly vulnerable, as multiple users may have access to the same instance.
检测步骤翻译中…
• other / general: Monitor Calibre logs for unusual file access attempts. Look for requests targeting files outside of the expected Calibre data directories.
grep -i 'path traversal' /var/log/calibre/calibre.log攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
93.77% (100% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 无 — 无完整性影响。
- Availability
- 无 — 无可用性影响。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是立即升级 Calibre 至 7.14.1 或更高版本。如果无法立即升级，可以考虑限制 Calibre 服务器的访问权限，只允许授权用户访问。此外，应定期审查 Calibre 的配置，确保其安全性。由于是路径遍历漏洞，可以考虑使用 Web 应用防火墙 (WAF) 来过滤恶意请求，阻止攻击者利用路径遍历技术访问敏感文件。
修复方法翻译中…
Actualice Calibre a una versión posterior a 7.14.0 para corregir la vulnerabilidad de path traversal. Esto evitará que atacantes no autenticados lean archivos arbitrarios en el sistema. Descargue la última versión desde el sitio web oficial de Calibre.
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2024-6781 — 任意文件读取漏洞在 Calibre 中?
CVE-2024-6781 是 Calibre 电子书管理软件中发现的任意文件读取漏洞，允许未经身份验证的攻击者读取服务器上的任意文件。
我是否受到 CVE-2024-6781 在 Calibre 中影响?
如果您使用的是 Calibre 7.14.0 至 7.14.0 版本，则可能受到影响。请立即升级至 7.14.1 或更高版本。
如何修复 CVE-2024-6781 在 Calibre 中?
升级至 Calibre 7.14.1 或更高版本是修复此漏洞的最佳方法。如果无法升级，请限制 Calibre 服务器的访问权限。
CVE-2024-6781 是否正在被积极利用?
目前尚无关于该漏洞被大规模利用的报告，但由于其易于利用，建议尽快采取缓解措施。
在哪里可以找到 Calibre 官方关于 CVE-2024-6781 的公告?
请访问 Calibre 官方网站或 GitHub 仓库，查找关于 CVE-2024-6781 的安全公告。