CVE-2024-4084
Açıklama
mintplex-labs/anything-llm'in son sürümünde, saldırganların intranet IP adreslerine ve protokollerine erişimi kısıtlamayı amaçlayan resmi düzeltmeyi atlatmalarına olanak tanıyan bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. Düzenli ifadeler aracılığıyla 192, 172, 10 ve 127 ile başlayan intranet IP adreslerini filtreleme ve erişim protokollerini HTTP ve HTTPS ile sınırlama çabalarına rağmen; saldırganlar, IP adreslerinin alternatif gösterimlerini kullanarak ve localhost üzerinde çalışan diğer portlara erişerek bu kısıtlamaları hala atlatabilmektedir. Bu zafiyet, saldırganların dahili ağdaki herhangi bir varlığa erişmesine, dahili ağdaki web servislerine saldırmasına, dahili ağdaki ana bilgisayarları taramasına ve potansiyel olarak AWS meta veri uç noktalarına erişmesine olanak tanır. Zafiyet, kullanıcı tarafından sağlanan URL'lerin yetersiz doğrulanmasından kaynaklanmaktadır ve SSRF saldırıları gerçekleştirmek için istismar edilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mintplexlabs anythingllm | v ≤ 1.5.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.