lm-sys/fastchat में POST /worker_generate_stream API एंडपॉइंट में SSRF

यह SSRF भेद्यता हमलावरों को fastchat Controller API Server के क्रेडेंशियल्स का उपयोग करके अनधिकृत वेब क्रियाएं करने या अनधिकृत वेब संसाधनों तक पहुंचने की अनुमति देती है। एक हमलावर /workergeneratestream API एंडपॉइंट और /register_worker एंडपॉइंट को जोड़कर ऐसा कर सकता है। इससे संवेदनशील डेटा का खुलासा हो सकता है, आंतरिक सेवाओं तक अनधिकृत पहुंच हो सकती है, या यहां तक ​​कि सिस्टम पर नियंत्रण भी प्राप्त हो सकता है। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह हमलावरों को आंतरिक नेटवर्क में प्रवेश करने और आगे बढ़ने की अनुमति दे सकती है। यह Log4Shell जैसी शोषण पैटर्न के समान है, जहां एक भेद्यता का उपयोग आंतरिक संसाधनों तक पहुंचने के लिए किया जा सकता है।

Organizations deploying lm-sys/fastchat for large language model serving, particularly those with exposed Controller API Servers, are at significant risk. This includes research labs, AI development teams, and any environment where fastchat is used to manage and orchestrate language models. Shared hosting environments where multiple users share the same fastchat instance are also particularly vulnerable.

• python / server: Monitor outbound network traffic from the fastchat Controller API Server for unexpected destinations. Use tools like tcpdump or Wireshark to capture and analyze traffic.

tcpdump -i any -n port 80 or port 443 | grep -i 'example.com'

• python / server: Examine fastchat logs for unusual requests to the /workergeneratestream and /register_worker endpoints. Look for requests with malformed URLs or unexpected parameters.

# Example log analysis (replace with your actual log parsing) 
import re
with open('fastchat.log', 'r') as f:
    for line in f:
        if re.search(r'/worker_generate_stream.*(http://|https://)', line):
            print(line)

• generic web: Check for unusual outbound connections from the fastchat server using ss or netstat.

ss -t -a | grep fastchat

1. 2024-12-30Disclosure

   disclosure

2. 2024-12-30Patch

   patch

1. आरक्षित2024-10-16
2. प्रकाशित2024-12-30
3. EPSS अद्यतन2026-04-02

CVE-2024-10044 को कम करने का सबसे प्रभावी तरीका fastchat के नवीनतम संस्करण में अपग्रेड करना है, जिसमें इस भेद्यता को ठीक किया गया है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके /workergeneratestream एंडपॉइंट पर आने वाले अनुरोधों को फ़िल्टर कर सकते हैं, ताकि केवल विश्वसनीय स्रोतों से अनुरोधों को ही अनुमति दी जा सके। इसके अतिरिक्त, आप Controller API Server के लिए नेटवर्क एक्सेस को प्रतिबंधित करने के लिए फ़ायरवॉल नियमों को कॉन्फ़िगर कर सकते हैं, ताकि यह केवल आवश्यक सेवाओं के साथ ही संवाद कर सके। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, /workergeneratestream एंडपॉइंट पर एक परीक्षण अनुरोध भेजकर सत्यापित करें।