CVE-2024-4889
Açıklama
berriai/litellm uygulamasının 1.34.6 versiyonunda, gizli yönetim sistemindeki eval fonksiyonunda doğrulanmamış girdi kullanımı nedeniyle bir kod enjeksiyonu zafiyeti bulunmaktadır. Bu zafiyetin istismar edilebilmesi için geçerli bir Google KMS yapılandırma dosyası gereklidir. Özellikle, `get_image` fonksiyonundaki `UI_LOGO_PATH` değişkeninin uzak bir sunucu adresi olarak ayarlanmasıyla, bir saldırgan `cached_logo.jpg` dosyasına kötü amaçlı bir Google KMS yapılandırma dosyası yazabilir. Daha sonra bu dosya, `SAVE_CONFIG_TO_DB` ortam değişkenine kötü amaçlı kod atanarak keyfi kod çalıştırmak için kullanılabilir ve bu durum tam sistem kontrolüne yol açabilir. Zafiyet, Google KMS özelliğinin kullanımına bağlıdır.
Nasıl düzeltilir
- litellm litellm1.44.16 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| litellm litellm | v < 1.44.16 | 1.44.16 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.