Plateforme
python
Composant
open-webui
Corrigé dans
0.5.17
Une vulnérabilité d'exécution arbitraire de code (RCE) a été découverte dans OpenWebUI, affectant les versions 0.5.9 et antérieures. Cette faille se situe dans l'API de transcription audio /audio/api/v1/transcriptions et permet à un utilisateur authentifié de télécharger des fichiers arbitraires. L'absence de validation adéquate du type de fichier et la possibilité de contrôler les noms de fichiers permettent une attaque par traversal de chemin, conduisant potentiellement à la compromission du conteneur Docker et à l'exécution de code en tant qu'utilisateur root. La version 0.5.17 corrige cette vulnérabilité.
L'exploitation réussie de cette vulnérabilité permet à un attaquant authentifié de télécharger des fichiers malveillants sur le serveur OpenWebUI. En manipulant le nom de fichier téléchargé, l'attaquant peut effectuer un traversal de chemin et écraser des fichiers critiques à l'intérieur du conteneur Docker. Cela peut conduire à une exécution de code arbitraire avec les privilèges de l'utilisateur root, donnant à l'attaquant un contrôle total sur le système. Le risque est particulièrement élevé dans les environnements conteneurisés où la compromission d'un conteneur peut servir de tremplin pour attaquer d'autres conteneurs ou le système hôte. Une exploitation réussie pourrait permettre l'installation de portes dérobées, le vol de données sensibles ou la perturbation des services.
Cette vulnérabilité est actuellement publique. Il n'y a pas d'indication d'une exploitation active à grande échelle, mais la simplicité de l'exploitation et la disponibilité d'un conteneur Docker en font une cible potentielle. La vulnérabilité n'a pas encore été ajoutée au catalogue KEV de CISA, mais sa gravité élevée justifie une surveillance continue. Des preuves de concept (PoC) pourraient rapidement apparaître, augmentant le risque d'exploitation.
Organizations deploying OpenWebUI within Docker containers, particularly those using it for sensitive audio processing tasks, are at significant risk. Shared hosting environments where OpenWebUI is installed could also be vulnerable if multiple users share the same container.
• linux / server: Monitor Docker container logs for unusual file creation or modification activity, particularly within the OpenWebUI application directory. Use journalctl -u openwebui to check for suspicious API calls.
journalctl -u openwebui | grep '/audio/api/v1/transcriptions'• generic web: Monitor web server access logs for requests to /audio/api/v1/transcriptions with unusual or unexpected Content-Type headers.
grep '/audio/api/v1/transcriptions' /var/log/apache2/access.log• python: If you have access to the OpenWebUI source code, review the /audio/api/v1/transcriptions endpoint for inadequate file validation logic.
disclosure
Statut de l'Exploit
EPSS
0.92% (percentile 76%)
CISA SSVC
Vecteur CVSS
La mitigation immédiate consiste à mettre à niveau OpenWebUI vers la version 0.5.17 ou supérieure, qui corrige cette vulnérabilité. Si la mise à niveau n'est pas possible immédiatement, des mesures temporaires peuvent être prises. Il est crucial de restreindre l'accès à l'API de transcription audio uniquement aux utilisateurs authentifiés et de confiance. La configuration d'un pare-feu d'application web (WAF) pour bloquer les requêtes contenant des caractères de traversal de chemin (par exemple, ../) peut également aider à atténuer le risque. Surveiller attentivement les journaux du serveur pour détecter toute tentative de téléchargement de fichiers suspects est également recommandé. Après la mise à niveau, vérifiez l'intégrité des fichiers du conteneur Docker pour détecter toute modification non autorisée.
Actualice OpenWebUI a una versión posterior a la 0.3.0 que corrija la vulnerabilidad de carga de archivos arbitrarios. Consulte las notas de la versión para obtener más detalles sobre la actualización. Como medida temporal, restrinja el acceso al endpoint `/audio/api/v1/transcriptions` hasta que se pueda realizar la actualización.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-8060 is a Remote Code Execution vulnerability in OpenWebUI versions up to 0.5.9, allowing authenticated users to upload arbitrary files and potentially gain root access.
You are affected if you are running OpenWebUI version 0.5.9 or earlier. Upgrade to 0.5.17 or later to resolve the vulnerability.
Upgrade OpenWebUI to version 0.5.17 or later. As a temporary workaround, implement a WAF rule to block requests to the vulnerable endpoint.
While no public exploits are currently known, the vulnerability's ease of exploitation suggests a potential for rapid exploitation.
Refer to the OpenWebUI GitHub repository for updates and advisories regarding CVE-2024-8060: [https://github.com/open-webui/open-webui](https://github.com/open-webui/open-webui)
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier requirements.txt et nous te dirons instantanément si tu es affecté.