Server-Side Request Forgery en haotian-liu/llava

Un atacante que explote esta vulnerabilidad SSRF puede obtener acceso no autorizado a recursos internos de la red a la que tiene acceso LLaVA. Esto incluye la posibilidad de leer archivos confidenciales, interactuar con servicios internos sin autenticación y, potencialmente, escalar privilegios. La capacidad de acceder al endpoint de metadatos de AWS permite a un atacante obtener información sobre la instancia en la que se ejecuta LLaVA, incluyendo credenciales y claves de acceso, lo que podría conducir a una mayor comprometer la infraestructura. La falta de validación adecuada del parámetro de ruta en el endpoint /run/predict es la causa raíz de esta vulnerabilidad.

Organizations deploying LLaVA in environments with access to sensitive internal resources, particularly those utilizing AWS infrastructure, are at significant risk. Shared hosting environments where LLaVA is deployed alongside other applications could also be vulnerable, as an attacker could potentially leverage the SSRF vulnerability to access resources belonging to other tenants.

• python / server:

import requests
import urllib.parse

def check_ssrf(url):
    try:
        parsed_url = urllib.parse.urlparse(url)
        if parsed_url.netloc == '169.254.169.254':
            print(f"Potential SSRF detected: {url}")
        else:
            print(f"URL is safe: {url}")
    except Exception as e:
        print(f"Error parsing URL: {e}")

# Example usage
check_ssrf('http://169.254.169.254/latest/meta-data/')

• generic web:

curl -I 'http://your-llava-server/run/predict?path=http://169.254.169.254/latest/meta-data/'

Examine the response headers and body for any signs of internal network access.

1. 2025-03-20Disclosure

   disclosure

1. Reservado2024-11-19
2. Publicada2025-03-20
3. EPSS actualizado2026-04-02

La mitigación principal es actualizar a una versión corregida de LLaVA que solucione esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar reglas en un firewall de aplicaciones web (WAF) o proxy para bloquear solicitudes a recursos internos o al endpoint de metadatos de AWS. Además, se debe revisar y fortalecer la validación de entrada en el endpoint /run/predict para asegurar que solo se permitan solicitudes a recursos autorizados. Después de la actualización, confirme la corrección revisando los registros de acceso y buscando solicitudes sospechosas al endpoint /run/predict.