Calibre est un logiciel open-source populaire de gestion de livres électroniques qui prend en charge des fonctionnalités telles que la conversion, la visualisation et le partage de bibliothèques. Le logiciel inclut un serveur de contenu pour l’accès à distance aux livres électroniques qui, s’il n’est pas correctement configuré, peut exposer les utilisateurs à des risques significatifs. Les versions de Calibre allant de 6.9.0 à 7.14.0 présentent une vulnérabilité permettant à des attaquants non authentifiés d’exécuter du code arbitraire à distance.

Produit	Calibre
Date	2025-01-10 09:45:24
Informations	Tendance Correctif disponible

Résumé technique

La CVE-2024-6782 décrit une vulnérabilité de contrôle d’accès inapproprié dans les versions de Calibre de 6.9.0 à 7.14.0, où le serveur de contenu ne parvient pas à limiter adéquatement l’accès à distance. Un attaquant non authentifié peut exploiter cette faille pour obtenir l’exécution de code à distance (RCE) en envoyant une requête spécialement conçue vers le point de terminaison /cdb/cmd/list. La vulnérabilité découle d’une gestion inappropriée, par le serveur, des données contrôlées par l’utilisateur qui sont transmises au module subprocess de Python, permettant ainsi l’injection directe de commandes. Le problème représente un risque critique car il pourrait conduire à la compromission complète du système si le serveur de contenu est exposé publiquement. Les chercheurs en sécurité ont vérifié la vulnérabilité, qui a été divulguée publiquement.

Recommandations

• Mettre à jour immédiatement : Les utilisateurs doivent mettre à jour vers une version corrigée de Calibre postérieure à la 7.14.0, dans laquelle la vulnérabilité a été résolue.
• Limiter l’exposition du serveur de contenu : Si une mise à jour immédiate n’est pas possible, limitez l’accès au serveur de contenu en utilisant des règles de pare-feu ou la segmentation du réseau.
• Désactiver les services non nécessaires : Désactivez la fonctionnalité de serveur de contenu si elle n’est pas essentielle.
• Assainissement des entrées : Assurez-vous que toutes les données contrôlées par l’utilisateur sont validées et assainies de manière appropriée avant d’être transmises aux commandes système.

[Callforaction-THREAT-Footer]