CVE-2023-38860

RCE w LangChain poprzez parametr prompt — zdalne wykonanie kodu

CVSS 9.8v3.1pub. 2023-08-15upd. 2024-11-21

Podatność w LangChain w wersji 0.0.231 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez manipulację parametrem prompt. Ze względu na maksymalny wynik CVSS (9.8) i brak wymagań uwierzytelnienia, zagrożenie jest krytyczne.

▸ Pokaż oryginał (EN)

An issue in LangChain v.0.0.231 allows a remote attacker to execute arbitrary code via the prompt parameter.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane dane wejściowe poprzez parametr prompt, co skutkuje wykonaniem arbitralnego kodu po stronie serwera (RCE). Podatność sklasyfikowana jest jako CWE-94 (Improper Control of Generation of Code), co wskazuje na niewystarczającą walidację lub sanityzację danych wejściowych przekazywanych do mechanizmu generowania lub ewaluacji kodu w LangChain. Atak nie wymaga uwierzytelnienia ani interakcji użytkownika, a exploit jest przeprowadzany zdalnie przez sieć.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem, wykonując dowolny kod na serwerze — co obejmuje utratę poufności, integralności i dostępności danych oraz zasobów systemowych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się jak najszybszą aktualizację LangChain do wersji wyższej niż 0.0.231 oraz monitorowanie oficjalnych repozytoriów projektu pod kątem opublikowanych poprawek.