Server-Side Request Forgery em haotian-liu/llava

Um atacante que explore com sucesso a vulnerabilidade SSRF em LLaVA pode obter acesso não autorizado a recursos internos da rede. Isso inclui a leitura de arquivos confidenciais, a execução de comandos em servidores internos e a obtenção de credenciais. O acesso ao endpoint de metadados da AWS, em particular, pode permitir que o atacante obtenha informações sobre a infraestrutura da AWS, como instâncias EC2 e seus respectivos metadados, facilitando a escalada de privilégios e o comprometimento da infraestrutura. A amplitude do impacto depende da configuração da rede e dos recursos acessíveis através do endpoint /run/predict.

Organizations deploying LLaVA in environments with access to sensitive internal resources, particularly those utilizing AWS infrastructure, are at significant risk. Shared hosting environments where LLaVA is deployed alongside other applications could also be vulnerable, as an attacker could potentially leverage the SSRF vulnerability to access resources belonging to other tenants.

• python / server:

import requests
import urllib.parse

def check_ssrf(url):
    try:
        parsed_url = urllib.parse.urlparse(url)
        if parsed_url.netloc == '169.254.169.254':
            print(f"Potential SSRF detected: {url}")
        else:
            print(f"URL is safe: {url}")
    except Exception as e:
        print(f"Error parsing URL: {e}")

# Example usage
check_ssrf('http://169.254.169.254/latest/meta-data/')

• generic web:

curl -I 'http://your-llava-server/run/predict?path=http://169.254.169.254/latest/meta-data/'

Examine the response headers and body for any signs of internal network access.

1. 2025-03-20Disclosure

   disclosure

1. Reservado2024-11-19
2. Publicada2025-03-20
3. EPSS atualizado2026-04-02

A mitigação primária para a vulnerabilidade CVE-2024-11449 é atualizar o LLaVA para a versão corrigida, assim que disponível. Enquanto a atualização não for possível, implemente medidas de segurança adicionais. Restrinja o acesso ao endpoint /run/predict, permitindo apenas conexões de fontes confiáveis. Utilize um Web Application Firewall (WAF) para filtrar solicitações maliciosas e bloquear tentativas de SSRF. Implemente validação rigorosa de entrada para o parâmetro de caminho, garantindo que ele contenha apenas dados esperados. Após a atualização, confirme a correção verificando se o endpoint /run/predict não permite mais solicitações para recursos internos ou externos não autorizados.