CVE-2024-6587
Təsvir
berriai/litellm versiya 1.38.10-da Server-Side Request Forgery (SSRF) zəifliyi mövcuddur. Bu zəiflik istifadəçilərə `POST /chat/completions` sorğularını göndərərkən `api_base` parametrini təyin etməyə imkan verir və bu, tətbiqin sorğunu `api_base` tərəfindən göstərilən domenə göndərməsinə səbəb olur. Həmin sorğuya OpenAI API açarı daxildir. Bədniyyətli istifadəçi `api_base` parametrini öz domeni ilə əvəz edərək OpenAI API açarını ələ keçirə bilər ki, bu da API açarına icazəsiz girişə və ondan potensial sui-istifadəyə gətirib çıxara bilər.
Necə düzəltmək olar
- litellm1.44.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| litellm litellm | 1.38.10 | — |
| litellmPyPI | v < 1.44.8 | 1.44.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.