Descripción
Chartbrew es una aplicación web de código abierto para crear gráficos a partir de bases de datos y API. En las versiones 4.8.5 a 5.2.2, las operaciones de creación y actualización de conexiones API aceptan el campo interno allowPrivateHost desde la entrada del usuario. Un usuario autenticado con permiso para administrar conexiones API puede habilitar este campo para eludir las restricciones de destino a redes privadas y reservadas. Una migración de actualización también habilita esta anulación en las conexiones API preexistentes. La configuración por conexión tiene prioridad sobre CB_ALLOW_PRIVATE_NETWORK_CALLS, por lo que deshabilitar esa opción de la instancia no protege las conexiones con la anulación habilitada. Explotar esta vulnerabilidad con éxito permite realizar solicitudes a servicios HTTP internos accesibles desde el servidor de Chartbrew, lo que podría divulgar información o desencadenar acciones no autorizadas según el servicio de destino. Los endpoints de metadatos de nube reconocidos siguen bloqueados por separado. Este problema se corrigió en la versión 5.2.3.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- chartbrew Afectadas: < 5.2.3
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/chartbrew/chartbrew/security/advisories/GHSA-4q3v-5r7x-58q2
- Referencia en github.comgithub.com/chartbrew/chartbrew/commit/78f49f4fc2781dc3f33f102b1daeddf…
- Referencia en github.comgithub.com/chartbrew/chartbrew/releases/tag/v5.2.3
Ver el texto original en inglés (CVE.org)
Chartbrew: SSRF to Internal Network via User-Controlled allowPrivateHost Flag on API Connections
Chartbrew is an open-source web application for creating charts from databases and APIs. In versions 4.8.5 through 5.2.2, API connection creation and update operations accept the internal allowPrivateHost field from user input. An authenticated user with permission to manage API connections can enable this field to bypass private and reserved-network destination restrictions. An upgrade migration also enables the override on pre-existing API connections. The per-connection setting takes precedence over CB_ALLOW_PRIVATE_NETWORK_CALLS , so disabling that instance option does not protect connections with the override enabled. Successful exploitation allows requests to internal HTTP services reachable from the Chartbrew server, potentially disclosing information or triggering unauthorized actions depending on the target service. Recognized cloud metadata endpoints remain separately blocked. This issue is fixed in version 5.2.3.