CVE-2024-6085 beschrijft een Path Traversal kwetsbaarheid in de XTTS server, onderdeel van het lollms Python pakket. Deze kwetsbaarheid stelt aanvallers in staat om ongeautoriseerd de root folder instellingen te wijzigen, waardoor ze potentieel willekeurige bestanden op het systeem kunnen lezen en audiobestanden naar elke locatie kunnen schrijven. De kwetsbaarheid treft versies van lollms tot en met de laatste beschikbare versie. Een update naar de meest recente versie is noodzakelijk om dit risico te mitigeren.
De impact van deze Path Traversal kwetsbaarheid is significant. Een succesvolle exploitatie stelt een aanvaller in staat om gevoelige informatie te extraheren door willekeurige bestanden op het systeem te lezen. Dit kan configuratiebestanden, wachtwoorden, API-sleutels of andere vertrouwelijke gegevens omvatten. Bovendien kan de aanvaller audiobestanden naar willekeurige locaties schrijven, wat kan leiden tot denial-of-service of verdere compromittering van het systeem. De mogelijkheid om bestanden te lezen en te schrijven, maakt dit een ernstige kwetsbaarheid met een potentieel breed blast radius.
Op dit moment is er geen informatie beschikbaar over actieve exploitatiecampagnes gerelateerd aan CVE-2024-6085. Er zijn geen publieke proof-of-concept exploits bekend. De kwetsbaarheid is openbaar gemaakt op 2024-06-27. De KEV status is momenteel onbekend. De NVD datum is 2024-06-27.
Organizations deploying lollms for text-to-speech generation, particularly those running the XTTS server component, are at risk. Shared hosting environments where lollms is installed alongside other applications are especially vulnerable, as a successful exploit could potentially compromise the entire host.
• python / lollms:
import os
import requests
# Check for unusual file access attempts
with open('/var/log/lollms/xtts.log', 'r') as f:
for line in f:
if 'read_file' in line and '/etc/passwd' in line:
print('Potential path traversal detected!')• generic web:
curl -I http://<lollms_server>/xtts/settings/root_folder?root_folder=/• generic web:
grep -i 'root_folder=/' /var/log/apache2/access.logdisclosure
Exploit Status
EPSS
0.13% (33% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2024-6085 is het updaten van lollms naar de meest recente versie. Controleer de officiële lollms repository voor de meest recente release. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de XTTS server via een firewall of reverse proxy. Configureer de proxy om requests naar de root folder wijziging endpoint te blokkeren. Het implementeren van strenge toegangscontroles en het monitoren van systeemlogboeken op verdachte activiteiten kan ook helpen bij het detecteren en voorkomen van exploitatie.
Actualice el paquete lollms a una versión posterior a la v9.6 que corrija la vulnerabilidad de path traversal. Consulte las notas de la versión o el repositorio del proyecto para obtener más detalles sobre la actualización. Como medida temporal, evite modificar la configuración de la carpeta raíz del servidor XTTS si no es absolutamente necesario.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-6085 is a Path Traversal vulnerability in the lollms package, allowing attackers to read and write files by manipulating the root folder settings. It's rated HIGH severity due to the potential for broad system access.
If you are using lollms version ≤latest, you are potentially affected. Assess your environment and prioritize upgrading to a patched version as soon as it's available.
The recommended fix is to upgrade to a patched version of lollms. Until a patch is available, restrict access to the XTTS server and implement strict input validation.
While no public exploits have been released yet, the vulnerability's simplicity suggests a high likelihood of exploitation. Monitor security advisories and threat intelligence feeds.
Refer to the lollms project's official website and GitHub repository for updates and security advisories related to CVE-2024-6085.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.