CVE-2023-38896

RCE w LangChain poprzez funkcje from_math_prompt i from_colored_object_prompt

CVSS 9.8v3.1pub. 2023-08-15upd. 2024-11-21

Krytyczna podatność w bibliotece LangChain (wersja 0.0.194 i wcześniejsze) umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez uwierzytelnienia. Wysoki wynik CVSS 9.8 wskazuje na poważne zagrożenie dla systemów korzystających z tej biblioteki.

▸ Pokaż oryginał (EN)

An issue in Harrison Chase langchain v.0.0.194 and before allows a remote attacker to execute arbitrary code via the from_math_prompt and from_colored_object_prompt functions.

🤖 Analiza AI

Jak działa

Podatność występuje w funkcjach from_math_prompt oraz from_colored_object_prompt biblioteki LangChain. Zdalny atakujący może dostarczyć specjalnie spreparowane dane wejściowe do tych funkcji, co prowadzi do wykonania arbitralnego kodu po stronie serwera (RCE). Brak wymagań dotyczących uwierzytelnienia, interakcji użytkownika oraz niska złożoność ataku sprawiają, że podatność jest szczególnie niebezpieczna i łatwa do wykorzystania.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia kontroli nad systemem, wycieku danych, naruszenia integralności oraz potencjalnej niedostępności usługi.

Mitygacja

Należy zaktualizować bibliotekę LangChain do wersji wyższej niż 0.0.194, w której problem został rozwiązany (zgodnie z pull requestem wskazanym w referencjach). Zaleca się również ograniczenie ekspozycji aplikacji korzystających z tej biblioteki do minimalnie niezbędnego zakresu sieciowego.

Kogo dotyczy

Harrison Chase LangChain w wersji 0.0.194 i wszystkich wcześniejszych wersjach.

Uwagi

Podatność dotyczy funkcji powiązanych z przetwarzaniem promptów matematycznych i kolorowych obiektów w ramach łańcuchów LLM. Poprawka została wprowadzona w pull requeście #6003 w repozytorium GitHub projektu.