PT-2024-30535 · Unknown+3 · Ckanext-Archiver+5

Senzee1984 · Publicado 2024-08-21 · Atualizado 2024-08-23 · CVE-2024-43371

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.8

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do CKAN anteriores à 2.10.5

Versões do CKAN anteriores à 2.11.0

Descrição

O CKAN é um sistema de gerenciamento de dados de código aberto destinado a alimentar hubs e portais de dados. Existem vários plug-ins do CKAN, incluindo XLoader, DataPusher, Resource proxy e ckanext-archiver, que funcionam baixando o conteúdo de arquivos locais ou remotos para realizar determinadas ações com esse conteúdo. Todos eles utilizam a URL do recurso, e atualmente não há verificações para limitar quais URLs podem ser solicitadas. Isso significa que um usuário mal-intencionado (ou desavisado) pode criar um recurso com uma URL apontando para um local ao qual não deveria ter acesso, a fim de que uma das ferramentas mencionadas acima o recupere, o que é conhecido como Server Side Request Forgery. Os usuários que desejam se proteger contra esses tipos de ataques podem utilizar uma ou uma combinação das seguintes abordagens: (1) Use um proxy HTTP separado, como o Squid, que pode ser usado para permitir/proibir IPs, domínios etc., conforme necessário, e configure as extensões do CKAN para reconhecer essa configuração por meio da opção de configuração ckan.download proxy. (2) Implemente regras de firewall personalizadas para impedir o acesso a recursos restritos. (3) Use validadores personalizados no campo url para bloquear/permitir determinados domínios ou IPs.

Recomendações

Para versões do CKAN anteriores à 2.10.5, use um proxy HTTP separado, como o Squid, para permitir/proibir IPs, domínios etc., conforme necessário, e configure as extensões do CKAN para reconhecerem essa configuração por meio da opção de configuração ckan.download proxy.

Para versões do CKAN

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-43371

GHSA-G9PH-J5VJ-F8WM

Produtos afetados

Ckan

Datapusher

Resource Proxy

Squid

Xloader

Ckanext-Archiver

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/43xxx/CVE-2024-43371.json · Exploit
• https://github.com/ckan/ckan · Nota
• https://github.com/ckan/ckan/security/advisories/GHSA-g9ph-j5vj-f8wm · Aviso do Fabricante
• https://github.com/ckan/ckan/commit/382beaec98cb331f2a030459ef043c50eaf5ad53 · Nota
• https://github.com/ckan/ckan/commit/8601183cc2fc87277ea5b33ff75c3a5610812ab5 · Nota
• https://twitter.com/VulmonFeeds/status/1826299204689449450 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-43371 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-g9ph-j5vj-f8wm · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1826280533267005567 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-43371 · Aviso do Fabricante
• https://t.me/cvedetector/3772 · Publicação no Telegram
• https://t.me/cvenotify/91951 · Publicação no Telegram