LLaMA FactoryのChat APIにCRITICALなSSRFおよびLFIの脆弱性

このSSRF脆弱性は、攻撃者がllamafactoryサーバーを介して内部ネットワーク上の機密サービスにアクセスすることを可能にします。例えば、内部データベースや管理インターフェースへのアクセス、または第三者サービスとの不正なやり取りが考えられます。さらに、Local File Inclusion (LFI) 脆弱性も存在し、攻撃者はサーバーのファイルシステムから任意のファイルを読み出すことが可能になります。これにより、機密情報漏洩、システム設定の改ざん、さらにはシステム全体の制御奪取につながる可能性があります。

Organizations deploying llamafactory in production environments, particularly those with internal services accessible via HTTP or HTTPS, are at risk. Environments with weak authentication or inadequate network segmentation are especially vulnerable. Shared hosting environments where multiple users share the same llamafactory instance are also at increased risk.

• python / server:

import requests
import urllib.parse

def check_ssrf(url):
    try:
        parsed_url = urllib.parse.urlparse(url)
        if parsed_url.scheme in ('http', 'https'):
            response = requests.get(url, timeout=5)
            if response.status_code != 200:
                print(f"Potential SSRF detected: {url} - Status Code: {response.status_code}")
            else:
                print(f"URL {url} accessible.")
        else:
            print(f"Invalid URL scheme: {url}")
    except requests.exceptions.RequestException as e:
        print(f"Error accessing {url}: {e}")

# Example usage (replace with actual URL patterns)
check_ssrf("http://localhost:8080")
check_ssrf("http://169.254.169.254/latest/meta-data/")

• generic web:

curl -I 'http://your-llamafactory-server/api/chat?message=http://internal-service/'

• linux / server:

journalctl -u llamafactory -f | grep -i "request:"

1. 2025-10-07Disclosure

   disclosure

1. 予約済み2025-09-30
2. 公開日2025-10-07
3. 更新日2026-03-19
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずllamafactoryをバージョン0.9.4にアップデートすることを推奨します。アップデートが困難な場合は、WAF（Web Application Firewall）やリバースプロキシを設定し、SSRF攻撃を検知・遮断するルールを適用してください。また、チャットAPIへのアクセスを厳格に制限し、不要な内部ネットワークへのアクセスを遮断することも有効です。さらに、ファイルアクセス権限を適切に設定し、攻撃者がファイルシステムを読み取れないようにする必要があります。