mintplex-labs/anything-llm における相対パストラバーサル

この脆弱性は、攻撃者がデフォルトのロールアカウントを使用して、Anything LLMのファイルシステム内の任意のファイルやフォルダを削除することを可能にします。特に、重要なデータベースファイルである'anythingllm.db'が削除されると、アプリケーションの機能が完全に停止し、機密データが失われる可能性があります。攻撃者は、この脆弱性を利用して、機密情報を窃取したり、システムを改ざんしたりする可能性があります。この攻撃は、類似のファイル操作脆弱性と同様に、システムへの完全なアクセス権を奪うための足がかりとなる可能性があります。

Organizations deploying Anything LLM with default role accounts are at immediate risk. Shared hosting environments where multiple users share the same application instance are particularly vulnerable, as an attacker could potentially compromise the entire environment. Legacy configurations that haven't been updated to the latest security patches are also at increased risk.

• nodejs / server:

  ps aux | grep anything-llm
  find / -name 'anythingllm.db' 2>/dev/null

• generic web:

  curl -I http://<your-anything-llm-server>/delete?path=../etc/passwd

• generic web:

  grep -r "../" /var/log/apache2/access.log

1. 2024-04-16Disclosure

   disclosure

1. 予約済み2024-01-15
2. 公開日2024-04-16
3. 更新日2024-08-01
4. EPSS 更新日2026-04-02

この脆弱性への主な対策は、Anything LLMをバージョン1.0.0にアップデートすることです。アップデートが利用できない場合、ファイル削除機能の使用を一時的に停止するか、ファイルパスの検証を厳格化するなどの回避策を検討してください。WAFやプロキシサーバーを利用して、悪意のあるファイルパスのアクセスをブロックすることも有効です。また、ファイル削除操作のログを監視し、異常なアクティビティを検知する仕組みを導入することも推奨されます。