FastChat सर्वर-साइड रिक्वेस्ट फोर्जिंग भेद्यता

SSRF भेद्यता के कारण, एक हमलावर आंतरिक सेवाओं और संसाधनों तक अनधिकृत पहुंच प्राप्त कर सकता है। इस मामले में, हमलावर AWS मेटाडेटा क्रेडेंशियल तक पहुंच सकता है, जिससे उन्हें क्लाउड वातावरण में संवेदनशील डेटा तक पहुंच प्राप्त हो सकती है या संसाधनों को नियंत्रित किया जा सकता है। हमलावर आंतरिक नेटवर्क को स्कैन करने, संवेदनशील डेटा को उजागर करने या अन्य आंतरिक प्रणालियों पर हमले शुरू करने के लिए इस भेद्यता का उपयोग कर सकते हैं। यह भेद्यता विशेष रूप से उन वातावरणों में गंभीर है जहां fastchat का उपयोग AWS या अन्य क्लाउड सेवाओं के साथ एकीकृत किया जाता है।

Organizations deploying fastchat within AWS environments are particularly at risk due to the potential for credential theft. Shared hosting environments where multiple users share the same server instance are also vulnerable, as an attacker could potentially exploit the vulnerability to access resources belonging to other users. Any deployment relying on fastchat for internal communication or data processing is potentially at risk.

• python / server:

# Check for vulnerable versions
python -c 'import fastchat; print(fastchat.__version__)'

• generic web:

# Attempt to trigger SSRF by requesting an internal resource
curl http://<fastchat_server>/.well-known/server-status

• generic web:

# Check response headers for unusual origins
curl -I http://<fastchat_server> | grep 'Origin:'

1. 2025-03-20Disclosure

   disclosure

1. आरक्षित2024-12-09
2. प्रकाशित2025-03-20
3. संशोधित2025-03-21
4. EPSS अद्यतन2026-04-02

CVE-2024-12376 को कम करने के लिए, fastchat को नवीनतम संस्करण में अपग्रेड करना महत्वपूर्ण है जिसमें इस भेद्यता के लिए एक फिक्स शामिल है। यदि अपग्रेड करना संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके SSRF हमलों को रोकने के लिए नियमों को कॉन्फ़िगर किया जा सकता है। WAF नियमों को उन अनुरोधों को ब्लॉक करने के लिए कॉन्फ़िगर किया जाना चाहिए जो आंतरिक संसाधनों तक पहुंचने का प्रयास करते हैं। इसके अतिरिक्त, आंतरिक संसाधनों तक पहुंच को सीमित करने के लिए नेटवर्क सेगमेंटेशन और एक्सेस नियंत्रण नीतियों को लागू किया जाना चाहिए। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, आंतरिक संसाधनों तक अनधिकृत पहुंच की जांच करें।