// For flags

CVE-2024-37164

CVAT SSRF via custom cloud storage endpoints

Severity Score

7.1
*CVSS v3.1

Exploit Likelihood

*EPSS

Affected Versions

*CPE

Public Exploits

0
*Multiple Sources

Exploited in Wild

-
*KEV

Decision

Track
*SSVC
Descriptions

Computer Vision Annotation Tool (CVAT) is an interactive video and image annotation tool for computer vision. CVAT allows users to supply custom endpoint URLs for cloud storages based on Amazon S3 and Azure Blob Storage. Starting in version 2.1.0 and prior to version 2.14.3, an attacker with a CVAT account can exploit this feature by specifying URLs whose host part is an intranet IP address or an internal domain name. By doing this, the attacker may be able to probe the network that the CVAT backend runs in for HTTP(S) servers. In addition, if there is a web server on this network that is sufficiently API-compatible with an Amazon S3 or Azure Blob Storage endpoint, and either allows anonymous access, or allows authentication with credentials that are known by the attacker, then the attacker may be able to create a cloud storage linked to this server. They may then be able to list files on the server; extract files from the server, if these files are of a type that CVAT supports reading from cloud storage (media data (such as images/videos/archives), importable annotations or datasets, task/project backups); and/or overwrite files on this server with exported annotations/datasets/backups. The exact capabilities of the attacker will depend on how the internal server is configured. Users should upgrade to CVAT 2.14.3 to receive a patch. In this release, the existing SSRF mitigation measures are applied to requests to cloud providers, with access to intranet IP addresses prohibited by default. Some workarounds are also available. One may use network security solutions such as virtual networks or firewalls to prohibit network access from the CVAT backend to unrelated servers on your internal network and/or require authentication for access to internal servers.

Computer Vision Annotation Tool (CVAT) es una herramienta interactiva de anotación de imágenes y videos para visión por computadora. CVAT permite a los usuarios proporcionar URL de endpoints personalizados para almacenamientos en la nube basados en Amazon S3 y Azure Blob Storage. A partir de la versión 2.1.0 y antes de la versión 2.14.3, un atacante con una cuenta CVAT puede aprovechar esta característica especificando URL cuya parte del host sea una dirección IP de intranet o un nombre de dominio interno. Al hacer esto, el atacante puede sondear la red en la que se ejecuta el backend CVAT en busca de servidores HTTP(S). Además, si hay un servidor web en esta red que es suficientemente compatible con API con un endpoint de Amazon S3 o Azure Blob Storage y permite el acceso anónimo o permite la autenticación con credenciales conocidas por el atacante, entonces el atacante puede poder crear un almacenamiento en la nube vinculado a este servidor. Luego podrán enumerar archivos en el servidor; extraer archivos del servidor, si estos archivos son de un tipo que CVAT admite la lectura desde el almacenamiento en la nube (datos multimedia (como imágenes/videos/archivos), anotaciones o conjuntos de datos importables, copias de seguridad de tareas/proyectos); y/o sobrescribir archivos en este servidor con anotaciones/conjuntos de datos/copias de seguridad exportados. Las capacidades exactas del atacante dependerán de cómo esté configurado el servidor interno. Los usuarios deben actualizar a CVAT 2.14.3 para recibir un parche. En esta versión, las medidas de mitigación SSRF existentes se aplican a las solicitudes a proveedores de nube, y el acceso a direcciones IP de intranet está prohibido de forma predeterminada. También hay algunas soluciones disponibles. Se pueden utilizar soluciones de seguridad de red, como redes virtuales o firewalls, para prohibir el acceso a la red desde el backend de CVAT a servidores no relacionados en su red interna y/o requerir autenticación para acceder a los servidores internos.

*Credits: N/A
CVSS Scores
Attack Vector
Network
Attack Complexity
High
Privileges Required
Low
User Interaction
None
Scope
Changed
Confidentiality
Low
Integrity
High
Availability
None
Attack Vector
Network
Attack Complexity
Low
Privileges Required
Low
User Interaction
None
Scope
Changed
Confidentiality
Low
Integrity
High
Availability
None
Attack Vector
Network
Attack Complexity
Low
Authentication
Single
Confidentiality
Partial
Integrity
Complete
Availability
None
* Common Vulnerability Scoring System
SSVC
  • Decision:Track
Exploitation
None
Automatable
No
Tech. Impact
Partial
* Organization's Worst-case Scenario
Timeline
  • 2024-06-03 CVE Reserved
  • 2024-06-13 CVE Published
  • 2024-08-02 CVE Updated
  • 2025-01-22 EPSS Updated
  • ---------- Exploited in Wild
  • ---------- KEV Due Date
  • ---------- First Exploit
CWE
  • CWE-918: Server-Side Request Forgery (SSRF)
CAPEC
Affected Vendors, Products, and Versions
Vendor Product Version Other Status
Vendor Product Version Other Status <-- --> Vendor Product Version Other Status
Cvat-ai
Search vendor "Cvat-ai"
 Cvat
Search vendor "Cvat-ai" for product "Cvat"
 >= 2.1.0 < 2.14.3
Search vendor "Cvat-ai" for product "Cvat" and version " >= 2.1.0 < 2.14.3"
en
Affected