CVE-2024-4889
Təsvir
berriai/litellm tətbiqinin 1.34.6 versiyasında secret idarəetmə sistemindəki eval funksiyasında yoxlanılmamış girişin istifadəsi səbəbindən kod inyeksiyası zəifliyi mövcuddur. Bu zəiflikdən istifadə etmək üçün etibarlı Google KMS konfiqurasiya faylı tələb olunur. Konkret olaraq, `get_image` funksiyasında `UI_LOGO_PATH` dəyişənini uzaq server ünvanına təyin etməklə hücumçu zərərli Google KMS konfiqurasiya faylını `cached_logo.jpg` faylına yaza bilər. Bu fayl daha sonra `SAVE_CONFIG_TO_DB` mühit dəyişəninə zərərli kod təyin etməklə ixtiyari kodun icrası üçün istifadə oluna bilər və tam sistem nəzarətinə gətirib çıxarır. Zəiflik Google KMS funksiyasının istifadəsindən asılıdır.
Necə düzəltmək olar
- litellm litellm1.44.16 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| litellm litellm | v < 1.44.16 | 1.44.16 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.