Usuario privilegiado utilizando recorrido para leer archivos del sistema

Esta vulnerabilidad permite a un atacante, que ya posee privilegios de administrador dentro de Anything LLM, subir una imagen de perfil (PFP) utilizando una ruta de archivo relativa. Posteriormente, puede utilizar la API de obtención de PFP para descargar cualquier archivo accesible en el sistema de archivos del servidor. El impacto es significativo, ya que un atacante podría obtener acceso a información confidencial, como claves de API, contraseñas, o incluso código fuente. Además, la capacidad de descargar archivos arbitrarios abre la puerta a la ejecución remota de código, permitiendo al atacante tomar el control completo del servidor. Esta vulnerabilidad comparte similitudes con otras fallas de manipulación de archivos que permiten la lectura o escritura no autorizada, lo que podría llevar a una brecha de seguridad significativa.

Organizations using Anything LLM in environments where privileged user accounts exist are at risk. This includes deployments with multiple administrators or managers, and those where user roles and permissions are not strictly enforced. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a compromise of one privileged account could lead to widespread data exfiltration.

• nodejs / server:

  # Monitor for suspicious file access attempts in application logs
  grep -i "profile picture" /var/log/anythingllm/access.log

• generic web:

  # Check for endpoint exposure related to profile picture uploads
  curl -I https://your-anythingllm-instance/api/v1/user/profile/picture

1. 2024-02-28Disclosure

   disclosure

1. Reservado2024-01-15
2. Publicada2024-02-28
3. Modificada2024-08-22
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-0550 es actualizar a la versión 1.0.0 de Anything LLM, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Restrinja el acceso a la API de obtención de PFP solo a usuarios autenticados y autorizados. Implemente validación estricta de las rutas de archivo proporcionadas por el usuario para evitar la manipulación. Considere el uso de un Web Application Firewall (WAF) para bloquear solicitudes maliciosas. Monitoree los registros del servidor en busca de intentos de acceso no autorizados a archivos.