CVE-2024-2029
Təsvir
mudler/localai məhsulunun `TranscriptEndpoint` komponentində, xüsusən audio faylların transkripsiya üçün WAV formatına çevrilməsində istifadə olunan `audioToWav` funksiyasında əmr inyeksiyası zəifliyi mövcuddur. Zəiflik istifadəçi tərəfindən təqdim edilən fayl adlarının shell əmri vasitəsilə ffmpeg-ə ötürülməzdən əvvəl təmizlənməməsi nəticəsində yaranır və hücumçuya host sistemində ixtiyari əmrləri icra etməyə imkan verir. Uğurlu istismar, kodu icra edən prosesin imtiyazlarından asılı olaraq, icazəsiz girişə, məlumatların sızmasına və ya digər zərərli nəticələrə səbəb ola bilər.
Necə düzəltmək olar
- mudler localai2.10.0 və ya daha yeni versiya
- github.com/go-skynet/LocalAI2.10.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mudler localai | v < 2.10.0 | 2.10.0 |
| github.com/go-skynet/LocalAIGo | v < 2.10.0, Aralıq göstərilməyib | 2.10.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.