Plateforme
nodejs
Composant
anything-llm
Corrigé dans
1.0.1
Une vulnérabilité de traversal de chemin (path traversal) a été découverte dans Anything LLM, permettant à un attaquant d'effacer récursivement des dossiers sur un serveur distant. Cette faille est due à une validation insuffisante des entrées, rendant possible la manipulation des chemins d'accès. Elle affecte les versions inférieures ou égales à 1.0.0 et une correction est disponible dans la version 1.0.0.
L'impact de cette vulnérabilité est significatif. Un attaquant ayant un accès limité au serveur peut exploiter cette faille pour supprimer des données critiques, compromettre l'intégrité du système et potentiellement perturber le fonctionnement de l'application. La suppression récursive de dossiers permet une destruction massive de fichiers, rendant la récupération des données difficile, voire impossible. Bien que l'accès au point d'entrée soit protégé par une autorisation, la possibilité d'escalade de privilèges via d'autres vecteurs d'attaque ne peut être exclue, augmentant ainsi le risque global.
Cette vulnérabilité a été rendue publique le 27 février 2024. Il n'y a pas d'indication d'une exploitation active à grande échelle à ce jour. La probabilité d'exploitation est considérée comme moyenne en raison de la nécessité d'un accès initial au serveur, bien que la simplicité de l'exploitation une fois l'accès obtenu puisse augmenter le risque. Aucun PoC public n'a été largement diffusé, mais la nature de la vulnérabilité suggère qu'un tel PoC pourrait être développé facilement.
Organizations deploying Anything LLM in production environments, particularly those with limited access controls or legacy configurations, are at risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability and impact other users.
• nodejs / server:
find /path/to/anything_llm -name '*deleteFolder*' -type f -print0 | xargs -0 grep -i 'path.join' -E '(\.\./)+'• generic web:
curl -I 'http://your-anything-llm-server/deleteFolder?path=../../../../etc/passwd' # Check for 200 OK or other unexpected responsesdisclosure
Statut de l'Exploit
EPSS
0.91% (percentile 76%)
CISA SSVC
Vecteur CVSS
En attendant la mise à jour vers la version 1.0.0, il est crucial de renforcer les contrôles d'accès et de validation des entrées. Mettez en œuvre une validation stricte des chemins d'accès, en utilisant des listes blanches plutôt que des listes noires. Si possible, désactivez temporairement l'endpoint vulnérable. Surveillez les journaux d'accès et d'erreurs pour détecter toute tentative d'exploitation. L'utilisation d'un pare-feu d'application web (WAF) peut aider à bloquer les requêtes malveillantes. Après la mise à jour, vérifiez que la suppression de dossiers est correctement restreinte en tentant une requête de traversal de chemin.
Actualice Anything LLM a una versión posterior a la 1.0.0. Esto solucionará la vulnerabilidad de path traversal que permite la eliminación arbitraria de carpetas. Consulte el commit 8a7324d0e77a15186e1ad5e5119fca4fb224c39c para más detalles sobre la corrección.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-0763 is a path traversal vulnerability in Anything LLM versions up to 1.0.0, allowing authenticated attackers to delete arbitrary folders on a remote server due to insufficient input sanitization.
If you are using Anything LLM version 1.0.0 or earlier, you are potentially affected by this vulnerability. Assess your server access controls to determine your risk level.
The recommended fix is to upgrade to version 1.0.0 or later. As a temporary workaround, implement stricter input validation on the folder deletion endpoint.
There is currently no confirmed evidence of active exploitation in the wild, but the vulnerability's nature makes it a potential target.
Refer to the official Anything LLM release notes and security advisories on their project repository for the most up-to-date information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.