transformeroptimus/superagi में रिमोट कोड एग्जीक्यूशन

CVE-2024-9439 का प्रभाव विनाशकारी हो सकता है। एक सफल हमलावर सिस्टम पर मनमाना कोड निष्पादित कर सकता है, जिससे डेटा चोरी, सिस्टम नियंत्रण का नुकसान और अन्य गंभीर परिणाम हो सकते हैं। 'agent template update' API में कमजोरियों का फायदा उठाकर, हमलावर मूल्यांकन फ़ंक्शन में दुर्भावनापूर्ण पैरामीटर इंजेक्ट कर सकते हैं, जिससे सिस्टम पर अनधिकृत क्रियाएं हो सकती हैं। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि यह SuperAGI के नवीनतम संस्करणों को प्रभावित करती है, जिसका व्यापक रूप से उपयोग किया जा रहा है। इस भेद्यता का शोषण करने से डेटा की गोपनीयता, अखंडता और उपलब्धता से समझौता हो सकता है।

Organizations deploying SuperAGI in production environments, particularly those relying on automated agent templates for critical tasks, are at significant risk. Systems with exposed SuperAGI API endpoints without proper input validation are especially vulnerable. Shared hosting environments where multiple users share the same SuperAGI instance also face increased risk due to the potential for cross-tenant exploitation.

• python / server:

import os
import subprocess

def check_superagi_api(api_endpoint):
    try:
        result = subprocess.run(['curl', '-X', 'POST', api_endpoint, '-d', 'malicious_payload'], capture_output=True, text=True, timeout=5)
        if result.returncode != 0:
            print(f"Potential vulnerability detected: API returned error code {result.returncode}")
        else:
            print(f"API response: {result.stdout}")
    except Exception as e:
        print(f"Error during API check: {e}")

# Example usage (replace with your API endpoint)
api_endpoint = 'http://localhost:8000/api/agent_template_update'
check_superagi_api(api_endpoint)

• generic web:

curl -X POST -d 'malicious_payload' http://your-superagi-server/api/agent_template_update 2>&1 | grep -i error

1. 2025-03-20Disclosure

   disclosure

1. आरक्षित2024-10-02
2. प्रकाशित2025-03-20
3. EPSS अद्यतन2026-04-02

CVE-2024-9439 के लिए तत्काल शमन कदम SuperAGI को नवीनतम संस्करण में अपडेट करना है जिसमें यह भेद्यता ठीक की गई है। यदि अपडेट करना संभव नहीं है, तो 'agent template update' API को अस्थायी रूप से अक्षम करने पर विचार करें। इसके अतिरिक्त, इनपुट सत्यापन और सैनिटाइजेशन को मजबूत करने के लिए अतिरिक्त सुरक्षा उपाय लागू किए जा सकते हैं। WAF (वेब एप्लिकेशन फ़ायरवॉल) नियमों को कॉन्फ़िगर करें ताकि दुर्भावनापूर्ण अनुरोधों को फ़िल्टर किया जा सके। सिस्टम लॉग की नियमित रूप से निगरानी करें ताकि किसी भी संदिग्ध गतिविधि का पता लगाया जा सके। अपडेट के बाद, यह सुनिश्चित करने के लिए सिस्टम का परीक्षण करें कि भेद्यता ठीक हो गई है और कोई नई समस्या नहीं आई है।