Vulnerabilidade de Transversal de Caminho (Path Traversal) no DB-GPT

A vulnerabilidade de Path Traversal no dbgpt permite que um atacante, ao manipular o parâmetro filekey na API /v1/resource/file/delete, exclua qualquer arquivo no servidor. Isso significa que um invasor pode remover arquivos de configuração críticos, dados de usuários, ou até mesmo o próprio código da aplicação, levando à interrupção do serviço e potencial perda de dados. A ausência de validação no filekey significa que o atacante pode especificar caminhos arbitrários, ignorando as proteções de acesso. Um ataque bem-sucedido pode resultar em uma negação de serviço (DoS) ou, em cenários mais graves, permitir a execução de código malicioso se o atacante conseguir substituir arquivos críticos por versões comprometidas.

Organizations deploying db-gpt in production environments, particularly those handling sensitive data or integrating with other critical systems, are at risk. Shared hosting environments where db-gpt instances share resources are also vulnerable, as an attacker could potentially exploit this vulnerability to impact other tenants.

• python / server:

# Monitor for requests to /v1/resource/file/delete with suspicious file_key parameters
# Example: grep '..' /var/log/nginx/access.log | grep '/v1/resource/file/delete'

• generic web:

# Check for the existence of the endpoint
curl -I https://your-dbgpt-instance/v1/resource/file/delete

1. 2025-03-20Disclosure

   disclosure

1. Reservado2024-11-04
2. Publicada2025-03-20
3. Modificada2025-03-21
4. EPSS atualizado2026-04-02

Como a correção oficial para CVE-2024-10830 ainda não foi lançada, a mitigação imediata deve se concentrar em medidas de proteção adicionais. A primeira etapa é implementar um Web Application Firewall (WAF) com regras para bloquear requisições que contenham caracteres especiais ou caminhos suspeitos no parâmetro filekey. Outra opção é restringir o acesso à API /v1/resource/file/delete apenas a usuários autenticados e autorizados. Monitore os logs do servidor em busca de tentativas de acesso não autorizado ou exclusão de arquivos inesperados. Assim que a versão corrigida do dbgpt for lançada, atualize imediatamente para essa versão. Após a atualização, confirme a mitigação verificando se a API /v1/resource/file/delete agora valida corretamente o parâmetro filekey.