CVE-2024-58340
Açıklama
LangChain'in 0.3.1 dahil önceki sürümleri, MRKLOutputParser.parse() metodunda (libs/langchain/langchain/agents/mrkl/output_parser.py) bir düzenli ifade hizmet reddi (ReDoS) zafiyeti içermektedir. Ayrıştırıcı, model çıktısından araç eylemlerini çıkarırken geri izleme (backtracking) eğilimli bir düzenli ifade uygulamaktadır. Ayrıştırılan metni sağlayabilen veya etkileyebilen bir saldırgan (örneğin, LLM çıktısını doğrudan MRKLOutputParser.parse() metoduna aktaran alt uygulamalarda istem enjeksiyonu yoluyla), özel olarak hazırlanmış bir yük göndererek aşırı CPU tüketimini tetikleyebilir; bu durum önemli ayrıştırma gecikmelerine ve hizmet reddi durumuna yol açabilir.
Nasıl düzeltilir
- langchain-exa1.0.0a1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langchain langchain | v ≤ 0.3.1 | — |
| langchain-exaPyPI | v < 1.0.0a1 | 1.0.0a1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.