CVE-2024-5751
Təsvir
BerriAI/litellm versiya v1.35.8-də hücumçunun uzaqdan kodun icrasını həyata keçirə biləcəyi bir boşluq mövcuddur. Boşluq, mühit dəyişənlərini base64 formatından dekodlaşdıran və şifrəsini açan, daha sonra onları `os.environ`-a təyin edən `add_deployment` funksiyasında mövcuddur. Hücumçu bunu `/config/update` son nöqtəsinə zərərli fayl göndərməklə istismar edə bilər ki, bu da `get_secret` funksiyası tetikləndikdə server tərəfindən emal edilir və icra olunur. Bu, serverin Google KMS-dən və modeli saxlamaq üçün verilənlər bazasından istifadə etməsini tələb edir.
Necə düzəltmək olar
- litellm1.40.16 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| litellm litellm | 1.35.8 | — |
| litellmPyPI | v < 1.40.16 | 1.40.16 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.