CVE-2024-4897
Təsvir
parisneo/lollms-webui ən son versiyasında llama-cpp-python-un llama_cpp_python-0.2.61+cpuavx2-cp311-cp311-manylinux_2_31_x86_64 versiyasından təhlükəsiz olmayan asılılıq səbəbindən uzaqdan kodun icrasına həssasdır. Zəiflik tətbiqin 'binding_zoo' funksiyasından irəli gəlir və bu, hücumçulara hugging-face-də yerləşdirilmiş zərərli model faylını yükləməyə və onunla qarşılıqlı əlaqə yaratmağa imkan verərək uzaqdan kodun icrasına gətirib çıxarır. Problem llama-cpp-python-da olan məlum CVE-2024-34359 zəifliyi ilə bağlıdır və b454f40a commit-i etibarilə lollms-webui-də yamaqlanmayıb. Zəiflik tətbiqin 'bindings_zoo' funksiyasında model fayllarının, xüsusilə gguf formatlı model fayllarının emalı zamanı istismar edilə bilər.
Necə düzəltmək olar
- lollms lollms_web_ui9.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lollms lollms_web_ui | v < 9.8 | 9.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.