लेबल स्टूडियो (Label Studio) एस3 (S3) स्टोरेज एंडपॉइंट में सर्वर-साइड रिक्वेस्ट फोर्जरी (Server-Side Request Forgery) की अनुमति देता है

यह SSRF भेद्यता हमलावरों को लेबल स्टूडियो एप्लिकेशन को मनमाने HTTP अनुरोध भेजने की अनुमति देती है, जिससे वे आंतरिक सेवाओं तक पहुंच सकते हैं जो सामान्य रूप से बाहरी दुनिया के लिए उजागर नहीं होती हैं। हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं, आंतरिक सिस्टम के साथ इंटरैक्ट कर सकते हैं, या यहां तक ​​कि आंतरिक सेवाओं पर हमले शुरू कर सकते हैं। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह हमलावरों को लेबल स्टूडियो एप्लिकेशन के माध्यम से आंतरिक नेटवर्क में प्रवेश करने की अनुमति दे सकती है, जिससे संभावित रूप से व्यापक क्षति हो सकती है। इस भेद्यता का शोषण करने के लिए, एक हमलावर एक दुर्भावनापूर्ण S3 एंडपॉइंट URL प्रदान कर सकता है जो आंतरिक सेवाओं को लक्षित करता है।

Organizations utilizing Label Studio for data annotation and labeling, particularly those with sensitive internal services accessible via HTTP, are at risk. Environments with misconfigured S3 endpoints or insufficient network segmentation are especially vulnerable. Shared hosting environments running Label Studio should be carefully reviewed for potential exposure.

• python / server:

# Check for vulnerable Label Studio versions
ps aux | grep 'label-studio==[1.9.0-1.9.2.post0]' 

• generic web:

# Check for S3 endpoint configuration in Label Studio settings (if accessible)
curl -I http://<label-studio-host>/settings/storage | grep 's3_endpoint='

1. 2025-02-14Disclosure

   disclosure

1. आरक्षित2025-02-06
2. प्रकाशित2025-02-14
3. EPSS अद्यतन2026-04-02

इस भेद्यता को कम करने के लिए, लेबल स्टूडियो को संस्करण 1.16.0 या बाद के संस्करण में अपग्रेड करने की अनुशंसा की जाती है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके S3 एंडपॉइंट URL को मान्य किया जा सकता है ताकि यह सुनिश्चित किया जा सके कि यह केवल विश्वसनीय स्रोतों से आता है। इसके अतिरिक्त, आंतरिक सेवाओं तक पहुंच को सीमित करने के लिए नेटवर्क फ़ायरवॉल नियमों को कॉन्फ़िगर किया जा सकता है। लेबल स्टूडियो के कॉन्फ़िगरेशन की समीक्षा करना और यह सुनिश्चित करना भी महत्वपूर्ण है कि केवल आवश्यक सेवाओं को उजागर किया गया है।