プラットフォーム
nodejs
コンポーネント
mintplex-labs/anything-llm
修正版
1.0.1
CVE-2024-0440は、anything-llmのバージョン1.0.0以前に存在するSSRF（Server-Side Request Forgery）脆弱性です。この脆弱性を悪用されると、攻撃者はリンクをPOST送信することで、サーバーが内部ファイルシステムを読み取ることが可能になります。影響を受けるバージョンは1.0.0以前であり、バージョン1.0.0へのアップデートでこの問題は解決されています。
このSSRF脆弱性は、攻撃者にとって非常に危険です。攻撃者は、ファイルシステム内の機密情報（APIキー、パスワード、設定ファイルなど）を盗み出す可能性があります。さらに、内部ネットワークへのアクセスを試み、他のシステムへの攻撃の足がかりにすることも考えられます。ファイルシステムへのアクセス権限を持つ攻撃者は、システム全体の機密性を脅かすことになります。この脆弱性は、機密情報の漏洩、システムの改ざん、さらには完全なシステム制御につながる可能性があります。
この脆弱性は、2024年2月25日に公開されました。現時点では、公開されているPoC（Proof of Concept）は確認されていませんが、SSRF脆弱性は一般的に悪用が容易であるため、注意が必要です。CISA KEVカタログへの登録状況は確認されていません。攻撃者による悪用が確認されるまでは、積極的な監視と対策が必要です。
Applications utilizing the anything-llm Node.js library in versions prior to 1.0.0 are at risk. This includes applications that process user-supplied URLs without proper validation, particularly those deployed in environments where file system access is not strictly controlled. Shared hosting environments where the application has access to the host's file system are particularly vulnerable.
• nodejs / server:
npm list anything-llm | grep -q '1.0.0' || echo "Vulnerable version detected!" • generic web:
curl -I 'http://your-server/your-endpoint?url=file:///etc/passwd' | grep 'HTTP/1.1 403' # Check for access denieddisclosure
エクスプロイト状況
EPSS
0.19% (41% パーセンタイル)
CVSS ベクトル
この脆弱性への最も効果的な対策は、anything-llmをバージョン1.0.0にアップデートすることです。アップデートがすぐに利用できない場合、入力検証を強化し、file://プロトコルを使用したリクエストをブロックするWAF（Web Application Firewall）ルールを実装することを検討してください。また、ファイルシステムへのアクセス権限を最小限に抑え、不要なファイルへのアクセスを制限することも重要です。アップデート後、バージョンを確認し、脆弱性が修正されていることを確認してください。
Anything LLM アプリケーションをバージョン 1.0.0 以降にアップデートしてください。このバージョンには、SSRF の脆弱性に対する修正が含まれており、システムファイルへの不正アクセスを防ぎます。アップデートは、npm パッケージマネージャーを使用するか、プロバイダーが提供するアップデート手順に従って実行できます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-0440は、anything-llmのバージョン1.0.0以前に存在するSSRF脆弱性で、攻撃者が内部ファイルシステムにアクセスできる可能性があります。
はい、バージョン1.0.0以前を使用している場合、攻撃者によって機密情報が漏洩されるリスクがあります。
anything-llmをバージョン1.0.0にアップデートすることで修正できます。
現時点では、公開されている悪用事例は確認されていませんが、SSRF脆弱性は悪用が容易であるため、注意が必要です。
公式アドバイザリは、anything-llmのプロジェクトリポジトリまたは関連するセキュリティ情報サイトで確認してください。