通过 CKAN 扩展 (SSRF) 可能访问敏感 URL (CVE-2024-43371)
CVE编号
CVE-2024-43371利用情况
暂无补丁情况
N/A披露时间
2024-08-21漏洞描述
CKAN是一个开源的数据管理系统，用于支持数据中心和门户。CKAN有许多插件，包括XLoader、DataPusher、资源代理和ckanext-archiver等。这些插件通过下载本地或远程文件的内容来执行某些操作（例如，推送到数据存储、流式传输内容或保存本地副本）。它们均使用资源URL，目前没有对可以请求的URL进行任何检查。这意味着恶意（或不了解情况的）用户可能会创建一个资源，其URL指向他们不应访问的位置，以便上述工具之一可以检索它（这被称为服务器端请求伪造）。想要防止这类攻击的用户可以采用以下一种或多种方法：（1）使用Squid等单独的HTTP代理，根据需要允许/阻止IP、域名等，并通过ckan.download_proxy配置选项使CKAN扩展了解此设置。（2）实施自定义防火墙规则，以防止访问受限资源。（3）在资源URL字段上使用自定义验证器来阻止/允许某些域名或IP。上述所有最新版本的插件都支持ckan.download_proxy设置。资源代理插件对此设置的支持包含在CKAN 2.10.5和2.11.0中。解决建议
"将组件 ckan 升级至 2.10.5 及以上版本"
参考链接 |
|
|---|---|
| https://github.com/ckan/ckan/security/advisories/GHSA-g9ph-j5vj-f8wm |
- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论