CVE-2024-2195

RCE w Aimstack Aim – wykonanie kodu przez parametr query w API

CVSS 9.8v3.0pub. 2024-04-10upd. 2025-07-29

Krytyczna podatność typu Remote Code Execution (RCE) została zidentyfikowana w projekcie Aimstack Aim, w endpoincie `/api/runs/search/run/`. Umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu na serwerze, co może prowadzić do pełnego przejęcia systemu.

▸ Pokaż oryginał (EN)

A critical Remote Code Execution (RCE) vulnerability was identified in the aimhubio/aim project, specifically within the `/api/runs/search/run/` endpoint, affecting versions >= 3.0.0. The vulnerability resides in the `run_search_api` function of the `aim/web/api/runs/views.py` file, where improper restriction of user access to the `RunView` object allows for the execution of arbitrary code via the `query` parameter. This issue enables attackers to execute arbitrary commands on the server, potentially leading to full system compromise.

🤖 Analiza AI

Jak działa

Podatność dotyczy funkcji `run_search_api` w pliku `aim/web/api/runs/views.py`. Nieprawidłowe ograniczenie dostępu użytkownika do obiektu `RunView` powoduje, że parametr `query` przekazywany przez sieć nie jest odpowiednio walidowany ani sanityzowany. Atakujący może umieścić w tym parametrze złośliwy kod, który zostanie wykonany bezpośrednio na serwerze. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji po stronie użytkownika, co czyni tę podatność szczególnie niebezpieczną.

Skutki

Atakujący może wykonać dowolne polecenia na serwerze hostującym aplikację Aim, co może skutkować pełnym przejęciem systemu, w tym kradzieżą danych, instalacją złośliwego oprogramowania lub dalszym lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do endpointu `/api/runs/search/run/` za pomocą firewall lub mechanizmów kontroli dostępu do czasu wdrożenia aktualizacji.