CVE-2024-4888
Açıklama
BerriAI'nin litellm ürünü, son sürümünde `/audio/transcriptions` uç noktasındaki hatalı girdi doğrulaması nedeniyle rastgele dosya silme zafiyetine sahiptir. Bir saldırgan, sunucuya bir dosya yolu içeren özel olarak hazırlanmış bir istek göndererek bu zafiyeti istismar edebilir ve böylece belirtilen dosyayı uygun yetkilendirme veya doğrulama olmaksızın silebilir. Bu zafiyet, bir dosyayı silmek için `os.remove(file.filename)` fonksiyonunun kullanıldığı kodda mevcut olup; herhangi bir kullanıcının sunucudaki SSH anahtarları, SQLite veritabanları veya yapılandırma dosyaları gibi kritik dosyaları silmesine olanak tanır.
Nasıl düzeltilir
- litellm litellm1.35.19 ya da sonraki bir sürüm
- litellm1.35.36 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| litellm litellm | v < 1.35.19 | 1.35.19 |
| litellmPyPI | v < 1.35.36 | 1.35.36 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.