DB-GPT पाथ ट्रावर्सल (Path Traversal) भेद्यता

यह Path Traversal भेद्यता हमलावरों को सर्वर पर मनमाने ढंग से फ़ाइलों को हटाने की अनुमति देती है। file_key पैरामीटर का उपयोग करके, हमलावर फ़ाइल सिस्टम में कहीं भी फ़ाइलों को लक्षित कर सकते हैं, जिससे महत्वपूर्ण डेटा का नुकसान हो सकता है, सिस्टम कॉन्फ़िगरेशन फ़ाइलों को हटा दिया जा सकता है, या यहां तक ​​कि सर्वर की कार्यक्षमता को बाधित किया जा सकता है। चूंकि फ़ाइल हटाने की प्रक्रिया बिना किसी प्रमाणीकरण के संभव है, इसलिए भेद्यता का शोषण करना अपेक्षाकृत आसान है। यह भेद्यता सर्वर की सुरक्षा को गंभीर रूप से कमजोर कर सकती है और डेटा उल्लंघनों का कारण बन सकती है।

Organizations deploying db-gpt in production environments, particularly those handling sensitive data or integrating with other critical systems, are at risk. Shared hosting environments where db-gpt instances share resources are also vulnerable, as an attacker could potentially exploit this vulnerability to impact other tenants.

• python / server:

# Monitor for requests to /v1/resource/file/delete with suspicious file_key parameters
# Example: grep '..' /var/log/nginx/access.log | grep '/v1/resource/file/delete'

• generic web:

# Check for the existence of the endpoint
curl -I https://your-dbgpt-instance/v1/resource/file/delete

1. 2025-03-20Disclosure

   disclosure

1. आरक्षित2024-11-04
2. प्रकाशित2025-03-20
3. संशोधित2025-03-21
4. EPSS अद्यतन2026-04-02

CVE-2024-10830 को कम करने के लिए, dbgpt के नवीनतम संस्करण में तुरंत अपडेट करना महत्वपूर्ण है। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) को लागू किया जा सकता है ताकि /v1/resource/file/delete एंडपॉइंट पर आने वाले अनुरोधों को फ़िल्टर किया जा सके और दुर्भावनापूर्ण file_key पैरामीटर को ब्लॉक किया जा सके। इसके अतिरिक्त, फ़ाइल सिस्टम अनुमतियों को सख्त किया जाना चाहिए ताकि केवल अधिकृत उपयोगकर्ताओं को ही फ़ाइलों को हटाने की अनुमति हो। नियमित सुरक्षा ऑडिट और भेद्यता स्कैनिंग भी संभावित कमजोरियों की पहचान करने और उन्हें दूर करने में मदद कर सकते हैं। अपडेट करने के बाद, यह सुनिश्चित करने के लिए फ़ाइल हटाने की कार्यक्षमता का परीक्षण करें कि भेद्यता दूर हो गई है।