CVE-2024-58339
Açıklama
LlamaIndex (run-llama/llama_index) 0.12.2 ve önceki sürümleri, VannaPack VannaQueryEngine uygulamasında kontrolsüz kaynak tüketimi zafiyeti içermektedir. custom_query() mantığı, kullanıcı tarafından sağlanan bir istemden SQL ifadeleri oluşturur ve bunları sorgu yürütme sınırlarını uygulamadan vn.run_sql() aracılığıyla çalıştırır. Güvenilmeyen kullanıcıların istem sağlayabildiği alt dağıtımlarda, bir saldırgan CPU veya bellek kaynaklarını tüketen maliyetli veya sınırsız SQL işlemleri tetikleyerek hizmet reddi durumuna yol açabilir. Zafiyet içeren yürütme yolu, llama_index/packs/vanna/base.py dosyasındaki custom_query() içerisinde gerçekleşmektedir.
Nasıl düzeltilir
- llama-index0.12.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| llamaindex llamaindex | v ≤ 0.12.2 | — |
| llama-indexPyPI | v < 0.12.3 | 0.12.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.