CVE-2024-58340
Təsvir
LangChain-in 0.3.1 daxil olmaqla bütün versiyalarında MRKLOutputParser.parse() metodunda (libs/langchain/langchain/agents/mrkl/output_parser.py) requlyar ifadələrlə bağlı xidmətdən imtina (ReDoS) zəifliyi mövcuddur. Parser, model çıxışından alət hərəkətlərini çıxararkən geri izləməyə (backtracking) meyilli requlyar ifadə tətbiq edir. Təhlükəli mətn təmin edə bilən və ya ona təsir göstərə bilən hücumçu (məsələn, LLM çıxışını birbaşa MRKLOutputParser.parse() metoduna ötürən aşağı axın tətbiqlərində prompt injection vasitəsilə), xüsusi hazırlanmış fayl göndərərək CPU resurslarının həddindən artıq istifadəsinə səbəb ola bilər ki, bu da ciddi analiz gecikmələrinə və xidmətdən imtina vəziyyətinə gətirib çıxarır.
Necə düzəltmək olar
- langchain-exa1.0.0a1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| langchain langchain | v ≤ 0.3.1 | — |
| langchain-exaPyPI | v < 1.0.0a1 | 1.0.0a1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.