CVE-2024-6868
Açıklama
mudler/LocalAI versiyon 2.17.1, otomatik arşiv çıkarma işleminin uygun şekilde yönetilmemesi nedeniyle rastgele dosya yazılmasına izin vermektedir. Model yapılandırmaları ek dosyaları arşiv olarak (örneğin .tar) belirttiğinde, bu arşivler indirildikten sonra otomatik olarak çıkarılır. Bu davranış, dosyaların normalde modeller diziniyle sınırlandıran kontrolleri atlayarak sunucudaki rastgele konumlara yazılmasını sağlayan bir 'tarslip' saldırısı gerçekleştirmek için istismar edilebilir. Bu güvenlik açığı, sunucu tarafından kullanılan arka uç varlıklarının üzerine yazılarak uzaktan kod çalıştırmaya (RCE) yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mudler localai | 2.17.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.