Pad Traversering en RFI Kwetsbaarheid in parisneo/lollms-webui

Een succesvolle exploitatie van CVE-2024-4498 kan leiden tot ongeautoriseerde toegang tot gevoelige bestanden op de server waarop lollms-webui draait. Aanvallers kunnen configuratiebestanden, broncode, of andere gevoelige data lezen. Verder kan een aanvaller, afhankelijk van de rechten van de applicatie, potentieel ook bestanden wijzigen of verwijderen, wat kan leiden tot een denial-of-service. De mogelijkheid tot Remote File Inclusion (RFI) vergroot het risico, omdat een aanvaller mogelijk schadelijke code kan includeren en uitvoeren, wat kan leiden tot volledige controle over de server. Dit is vergelijkbaar met andere Path Traversal kwetsbaarheden waarbij ongeautoriseerde toegang tot het bestandssysteem mogelijk wordt gemaakt.

Organizations deploying lollms-webui, particularly those running it in production environments or on shared hosting platforms, are at risk. Environments with weak file system permissions or inadequate input validation practices are especially vulnerable. Users relying on lollms-webui for sensitive data processing or storage should prioritize patching.

• linux / server:

journalctl -u lollms-webui -g "apply_settings"

• generic web:

curl -I http://your-lollms-webui-host/apply_settings?discussion_db_name=../../../../etc/passwd | grep 'HTTP/1.1 200 OK'

• generic web: Check access logs for requests to /applysettings with unusual or suspicious values for the discussiondb_name parameter (e.g., containing ../ sequences).

1. 2024-06-25Disclosure

   disclosure

1. Gereserveerd2024-05-04
2. Gepubliceerd2024-06-25
3. Gewijzigd2024-08-01
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het updaten van lollms-webui naar de meest recente versie, waar deze kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strikte input validatie op de /applysettings endpoint. Dit omvat het whitelisten van toegestane bestandsnamen en het valideren dat de discussiondb_name parameter alleen geldige paden bevat. Het is ook aan te raden om de rechten van de applicatie te beperken, zodat deze niet in staat is om toegang te krijgen tot gevoelige bestanden buiten de applicatie directory. Monitor de applicatie logs op verdachte activiteit, zoals pogingen om bestanden buiten de verwachte paden te benaderen. Na de upgrade, controleer de applicatie logs op eventuele foutmeldingen of onverwacht gedrag.