lobe-chat a implémenté une correction insuffisante pour GHSA-mxhq-xw3g-rphc (CVE-2024-32964)

Un attaquant exploitant cette vulnérabilité peut initier des requêtes vers des ressources internes qui ne sont normalement pas accessibles depuis l'extérieur. Cela peut inclure l'accès à des informations sensibles stockées sur des serveurs internes, l'exécution de commandes sur des systèmes vulnérables, ou même le compromis de l'ensemble du réseau. Le contournement de la protection SSRF rend l'exploitation plus facile et augmente considérablement la surface d'attaque. L'attaquant pourrait, par exemple, accéder à des informations de configuration, des clés API, ou des données sensibles stockées sur des bases de données internes. La capacité de lancer des requêtes arbitraires vers l'intérieur du réseau ouvre la porte à des attaques de reconnaissance et d'escalade de privilèges.

Organizations deploying @lobehub/chat in production environments, particularly those that rely on it for proxying external requests, are at significant risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as an attacker could potentially exploit the vulnerability through another user's application.

• nodejs / server:

  grep -r 'https://github.com/lobehub/lobe-chat/blob/main/src/app/api/proxy/route.ts' . 

• generic web:

  curl -I <lobehub/chat endpoint> | grep 'Location:'

1. 2024-09-23Disclosure

   disclosure

2. 2024-09-23PoC

   poc

3. 2024-09-23Patch

   patch

1. Réservé2024-09-17
2. Publiée2024-09-23
3. Modifiée2026-02-04
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour la bibliothèque @lobehub/chat vers la version 1.19.13 ou supérieure, qui corrige la vulnérabilité. En attendant la mise à jour, des mesures temporaires peuvent être prises. Il est recommandé de configurer un pare-feu pour bloquer les requêtes sortantes vers des adresses IP internes ou des plages d'adresses IP suspectes. L'utilisation d'un proxy inverse avec une validation stricte des redirections peut également aider à atténuer le risque. Surveillez attentivement les journaux d'accès pour détecter des requêtes suspectes vers des ressources internes. Après la mise à jour, vérifiez que la protection SSRF est correctement implémentée en testant avec des URL malveillantes contenant des redirections.