FastChat Server-Side Request Forgery kwetsbaarheid

De SSRF-kwetsbaarheid in fschat maakt het mogelijk voor een aanvaller om verzoeken te versturen vanuit de server, alsof ze afkomstig zijn van de server zelf. Dit kan leiden tot ongeautoriseerde toegang tot interne systemen en diensten. In dit specifieke geval kan een aanvaller AWS metadata credentials benaderen, wat de basis kan vormen voor verdere escalatie van privileges en toegang tot gevoelige data binnen de AWS omgeving. De impact is aanzienlijk, aangezien de aanvaller potentieel toegang kan krijgen tot cloud resources en deze kan misbruiken voor bijvoorbeeld data-exfiltratie of het lanceren van aanvallen op andere systemen binnen de infrastructuur. Dit patroon is vergelijkbaar met SSRF-aanvallen die in andere webapplicaties zijn waargenomen, waarbij interne services worden blootgesteld.

Organizations deploying fastchat within AWS environments are particularly at risk due to the potential for credential theft. Shared hosting environments where multiple users share the same server instance are also vulnerable, as an attacker could potentially exploit the vulnerability to access resources belonging to other users. Any deployment relying on fastchat for internal communication or data processing is potentially at risk.

• python / server:

# Check for vulnerable versions
python -c 'import fastchat; print(fastchat.__version__)'

• generic web:

# Attempt to trigger SSRF by requesting an internal resource
curl http://<fastchat_server>/.well-known/server-status

• generic web:

# Check response headers for unusual origins
curl -I http://<fastchat_server> | grep 'Origin:'

1. 2025-03-20Disclosure

   disclosure

1. Gereserveerd2024-12-09
2. Gepubliceerd2025-03-20
3. Gewijzigd2025-03-21
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar een beveiligde versie van fschat. Controleer de officiële lm-sys repository voor de meest recente versie die deze kwetsbaarheid verhelpt. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van een Web Application Firewall (WAF) of proxy die verzoeken naar interne resources blokkeert. Configureer de WAF om verzoeken met specifieke URL-patronen die wijzen op interne services te filteren. Daarnaast kan het beperken van de toegang tot de fschat web server tot vertrouwde bronnen de aanvalsoppervlakte verkleinen. Na de upgrade, controleer de server logs op verdachte activiteiten die verband houden met SSRF-aanvallen.