CVE-2024-1880
Açıklama
significant-gravitas/autogpt projesinin MacOS Text-To-Speech sınıfı olan MacOSTTS'de, v0.5.0 sürümüne kadar olan versiyonları etkileyen bir OS komut enjeksiyonu zafiyeti bulunmaktadır. Zafiyet, MacOSTTS sınıfının `_speech` metodu içerisinde, bir OS komutunda kullanılan özel öğelerin uygun şekilde nötralize edilmemesinden kaynaklanmaktadır. Özellikle, kullanıcı tarafından sağlanan metinle `say` komutunu yürütmek için `os.system` kullanılması, bir saldırganın kabuk komutlarını enjekte edebilmesi durumunda rastgele kod çalıştırılmasına izin vermektedir. Bu sorun, AutoGPT örneği `--speak` seçeneği etkinleştirilmiş ve `TEXT_TO_SPEECH_PROVIDER=macos` olarak yapılandırılmışken, bir kabuk enjeksiyon parçacığının geri yansıtılmasıyla tetiklenmektedir. Bu zafiyetin etkisi, AutoGPT'yi çalıştıran örnek üzerinde rastgele kod yürütülme potansiyelidir. Sorun 5.1.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- agpt autogpt_classic0.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| agpt autogpt_classic | v < 0.5.1 | 0.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.