Padtraversering in mudler/localai

De impact van deze Path Traversal kwetsbaarheid is significant. Een succesvolle exploitatie stelt een aanvaller in staat om willekeurige bestanden op het systeem te verwijderen, mogelijk inclusief configuratiebestanden, databases of andere gevoelige data. Dit kan leiden tot een volledig verlies van data, verstoring van de dienstverlening en mogelijk compromittering van de hele omgeving. De mogelijkheid om bestanden buiten de beoogde directory te verwijderen, vergroot de ernst van de kwetsbaarheid aanzienlijk, omdat de aanvaller niet beperkt is tot de model directory. Dit soort kwetsbaarheden kunnen vergelijkbare gevolgen hebben als andere Path Traversal exploits, waarbij ongeautoriseerde toegang tot systeembestanden mogelijk is.

Organizations deploying localai in production environments, particularly those using older versions (≤2.16.0), are at risk. Shared hosting environments where multiple users share the same localai instance are also vulnerable, as an attacker could potentially exploit the vulnerability to delete files belonging to other users. Users relying on localai for critical data processing or storage should prioritize patching.

• docker: Inspect running containers for localai versions prior to 2.16.0 using docker ps and docker exec -it <container_id> localai --version. • file system: Monitor file system activity for unexpected file deletions, particularly in directories containing sensitive data. Use tools like inotifywait (Linux) or file integrity monitoring solutions. • network: Monitor network traffic for suspicious requests targeting the model deletion endpoint with unusual or manipulated parameters. Use tools like Wireshark or tcpdump. • logs: Examine localai application logs for error messages or warnings related to file access or deletion attempts.

1. 2024-06-19Disclosure

   disclosure

1. Gereserveerd2024-05-21
2. Gepubliceerd2024-06-19
3. Gewijzigd2024-08-01
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-5182 is het updaten van localai naar versie 2.16.0 of hoger. Deze versie bevat de benodigde correcties om de Path Traversal kwetsbaarheid te verhelpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de model verwijderingsfunctionaliteit. Implementeer strikte toegangscontroles en authenticatie om ongeautoriseerde toegang te voorkomen. Controleer de configuratie van de applicatie en zorg ervoor dat de directory waarin modellen worden opgeslagen, goed is beveiligd. Na de upgrade, controleer de logbestanden op verdachte activiteiten en bevestig dat de kwetsbaarheid is verholpen door een poging te wagen om een bestand buiten de beoogde directory te verwijderen (dit dient met uiterste voorzichtigheid te gebeuren in een testomgeving).