CVE-2024-2360

Path Traversal prowadzący do RCE w parisneo/lollms-webui

CVSS 9.8v3.1pub. 2024-06-06upd. 2024-11-21

Aplikacja lollms-webui jest podatna na ataki path traversal w ustawieniach 'Database path' oraz 'PDF LaTeX path', które mogą prowadzić do zdalnego wykonania kodu (RCE). Podatność posiada ocenę CVSS 9.8 i nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

parisneo/lollms-webui is vulnerable to path traversal attacks that can lead to remote code execution due to insufficient sanitization of user-supplied input in the 'Database path' and 'PDF LaTeX path' settings. An attacker can exploit this vulnerability by manipulating these settings to execute arbitrary code on the targeted server. The issue affects the latest version of the software. The vulnerability stems from the application's handling of the 'discussion_db_name' and 'pdf_latex_path' parameters, which do not properly validate file paths, allowing for directory traversal. This vulnerability can also lead to further file exposure and other attack vectors by manipulating the 'discussion_db_name' parameter.

🤖 Analiza AI

Jak działa

Atakujący może manipulować parametrami 'discussion_db_name' oraz 'pdf_latex_path', które nie są prawidłowo walidowane pod kątem ścieżek plików. Brak odpowiedniej sanityzacji danych wejściowych dostarczanych przez użytkownika umożliwia przeprowadzenie ataków path traversal (directory traversal). Poprzez odpowiednie spreparowanie tych parametrów możliwe jest wykonanie dowolnego kodu na atakowanym serwerze, a także ujawnienie plików systemowych i wykorzystanie dalszych wektorów ataku.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze (RCE), uzyskać dostęp do poufnych plików systemowych oraz potencjalnie przejąć pełną kontrolę nad systemem, w tym zagrozić poufności, integralności i dostępności danych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium projektu parisneo/lollms-webui oraz niezwłoczne wdrożenie aktualizacji eliminującej nieprawidłową walidację parametrów 'discussion_db_name' i 'pdf_latex_path'. Do czasu zastosowania poprawki należy ograniczyć dostęp do interfejsu webowego wyłącznie do zaufanych użytkowników.

Kogo dotyczy

parisneo/lollms-webui — najnowsza wersja oprogramowania dostępna w momencie publikacji podatności (2024-06-06)

Uwagi

Podatność została zgłoszona za pośrednictwem platformy huntr.com (program bug bounty). Dotyczy obsługi parametrów 'discussion_db_name' oraz 'pdf_latex_path' w ustawieniach aplikacji.