CVE-2024-2029
Açıklama
mudler/localai ürününün `TranscriptEndpoint` bileşeninde, özellikle ses dosyalarını transkripsiyon için WAV formatına dönüştürmek üzere kullanılan `audioToWav` fonksiyonunda bir komut enjeksiyonu güvenlik açığı bulunmaktadır. Güvenlik açığı, kullanıcı tarafından sağlanan dosya adlarının bir kabuk komutu aracılığıyla ffmpeg'e iletilmeden önce temizlenmemesi nedeniyle ortaya çıkmakta ve bir saldırganın ana bilgisayar sisteminde rastgele komutlar çalıştırmasına olanak tanımaktadır. Başarılı bir istismar, kodu çalıştıran sürecin ayrıcalıklarına bağlı olarak yetkisiz erişime, veri ihlallerine veya diğer zararlı etkilere yol açabilir.
Nasıl düzeltilir
- mudler localai2.10.0 ya da sonraki bir sürüm
- github.com/go-skynet/LocalAI2.10.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mudler localai | v < 2.10.0 | 2.10.0 |
| github.com/go-skynet/LocalAIGo | v < 2.10.0, Aralık belirtilmemiş | 2.10.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.