CVE-2024-10830は、eosphoros-ai/db-gptにおいてPath Traversal脆弱性が存在する問題です。攻撃者は、/v1/resource/file/deleteエンドポイントのfile_keyパラメータを操作することで、サーバー上の任意のファイルを削除できてしまいます。この脆弱性は、db-gptのバージョン0.6.0以下に影響を与えます。2025年3月20日に公開されました。
この脆弱性を悪用されると、攻撃者はサーバー上の機密情報を含むファイルを削除し、システムの可用性を著しく損なう可能性があります。特に、データベースのバックアップファイルや設定ファイルなどが削除されると、データ損失やシステム停止に直結します。攻撃者は、この脆弱性を利用して、他のシステムへの攻撃の足がかりを築くことも考えられます。この脆弱性は、ファイルシステムへの直接的なアクセスを許可するものではないため、攻撃者は認証情報を悪用する必要がある可能性がありますが、認証情報が漏洩している場合は、深刻な被害につながる可能性があります。
CVE-2024-10830は、現時点ではKEVに登録されていません。CVSSスコアは8.2（HIGH）であり、攻撃の可能性は中程度と評価されます。公開されているPoCは確認されていませんが、Path Traversal脆弱性は比較的悪用が容易であるため、今後の攻撃の可能性に注意が必要です。NVDおよびCISAの公開日は2025年3月20日です。
Organizations deploying db-gpt in production environments, particularly those handling sensitive data or integrating with other critical systems, are at risk. Shared hosting environments where db-gpt instances share resources are also vulnerable, as an attacker could potentially exploit this vulnerability to impact other tenants.
• python / server:
# Monitor for requests to /v1/resource/file/delete with suspicious file_key parameters
# Example: grep '..' /var/log/nginx/access.log | grep '/v1/resource/file/delete'• generic web:
# Check for the existence of the endpoint
curl -I https://your-dbgpt-instance/v1/resource/file/deletedisclosure
エクスプロイト状況
EPSS
0.22% (45% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応として、まずdb-gptを最新バージョンにアップデートすることを推奨します。バージョンアップが困難な場合は、/v1/resource/file/deleteエンドポイントへのアクセスを一時的に制限するか、file_keyパラメータに対する厳格な入力検証を実装してください。WAF（Web Application Firewall）を使用している場合は、Path Traversal攻撃を検知・防御するルールを設定することも有効です。また、ファイルシステムのアクセス権限を適切に設定し、攻撃者がアクセスできる範囲を制限することも重要です。
Actualice a una versión posterior a 0.6.0 o implemente una validación robusta de la entrada `file_key` para evitar el recorrido de directorios. Asegúrese de que los nombres de archivo proporcionados por el usuario se validen con una lista blanca o se limpien adecuadamente antes de usarlos para acceder a los archivos. Considere restringir el acceso a la función de eliminación de archivos solo a usuarios autorizados.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-10830は、eosphoros-ai/db-gptのバージョン0.6.0以下の/v1/resource/file/deleteエンドポイントにおけるPath Traversal脆弱性です。攻撃者は、file_keyパラメータを操作することで、任意のファイルを削除できます。
はい、db-gptのバージョン0.6.0以下を使用している場合、この脆弱性により、サーバー上の機密情報を含むファイルを削除されるリスクがあります。
まず、db-gptを最新バージョンにアップデートすることを推奨します。バージョンアップが困難な場合は、エンドポイントへのアクセス制限や、file_keyパラメータに対する入力検証を実装してください。
現時点では、CVE-2024-10830を悪用した具体的な事例は確認されていませんが、Path Traversal脆弱性は比較的悪用が容易であるため、今後の攻撃の可能性に注意が必要です。
eosphoros-ai/db-gptの公式アドバイザリは、プロジェクトのGitHubリポジトリまたは関連するセキュリティ情報サイトで確認してください。
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。