CVE-2024-3149: SSRF in Anything LLM

Deze SSRF kwetsbaarheid in Anything LLM stelt een aanvaller in staat om een breed scala aan schadelijke acties uit te voeren. Door een kwaadaardige website te hosten en deze te gebruiken om interactie te hebben met de Collector API, kan de aanvaller interne poorten scannen, toegang krijgen tot interne webapplicaties die niet extern toegankelijk zijn, en mogelijk ongeautoriseerde acties uitvoeren. De beschrijving suggereert dat dit kan leiden tot willekeurige bestandverwijdering en een beperkte vorm van Local File Inclusion (LFI). De impact is aanzienlijk, aangezien de aanvaller de mogelijkheid heeft om de interne infrastructuur te verkennen en te compromitteren.

Organizations utilizing Anything LLM, particularly those with manager or admin roles enabled and the upload link feature active, are at significant risk. Shared hosting environments where multiple users have access to the Anything LLM instance are especially vulnerable, as a compromised account could impact all users on the server.

• nodejs: Monitor process execution for unusual network connections originating from the Anything LLM process. Use lsof or netstat to identify connections to internal IP addresses.

lsof -i -p $(pidof anything-llm)

• nodejs: Examine application logs for requests to internal resources or unusual URLs. Look for patterns indicative of port scanning or attempts to access sensitive endpoints.

grep -i 'internal_ip_address|malicious_url' /var/log/anything-llm.log

• generic web: Monitor access logs for requests originating from the Anything LLM server to internal IP addresses or unusual domains.

grep '127.0.0.1|192.168.1.1' /var/log/apache2/access.log

1. 2024-06-06Disclosure

   disclosure

1. Gereserveerd2024-04-01
2. Gepubliceerd2024-06-06
3. Gewijzigd2024-08-01
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor deze SSRF kwetsbaarheid is het upgraden naar versie 1.0.0 van Anything LLM. Indien een directe upgrade niet mogelijk is, overweeg dan om de upload link functionaliteit tijdelijk uit te schakelen, indien dit de functionaliteit van de applicatie niet significant beïnvloedt. Implementeer een Web Application Firewall (WAF) met regels die SSRF-aanvallen detecteren en blokkeren, specifiek gericht op het filteren van onbetrouwbare URL's. Controleer de configuratie van de Collector API om ervoor te zorgen dat deze niet onnodig interne toegang toestaat.