平台
nodejs
组件
mintplex-labs/anything-llm
修复版本
1.0.1
CVE-2024-0440 是 anything-llm 库中的服务器端请求伪造 (SSRF) 漏洞。攻击者可以利用此漏洞通过提交包含 file:// 协议的链接来读取主机文件和其他相对存储的文件，从而可能导致敏感信息泄露。该漏洞影响 anything-llm 的 1.0.0 及更早版本。建议立即升级至 1.0.0 版本以消除此风险。
此 SSRF 漏洞允许攻击者绕过访问控制，读取服务器文件系统中的敏感数据。攻击者可以通过提交精心构造的 POST 请求，其中包含 file:// 协议的 URL，来访问任何服务器可以访问的文件。这可能包括配置文件、密钥文件、数据库凭据或其他敏感信息。攻击者还可以利用此漏洞来执行其他恶意操作，例如扫描内部网络或尝试访问其他内部服务。由于 anything-llm 库可能被集成到多个应用程序中，因此此漏洞的潜在影响范围非常广泛。
目前没有公开的利用代码 (PoC)，但该漏洞的严重性很高，且易于利用。该漏洞已于 2024 年 2 月 25 日公开，并已添加到 NVD 数据库中。由于 SSRF 漏洞通常被积极利用，因此建议尽快采取缓解措施。
Applications utilizing the anything-llm Node.js library in versions prior to 1.0.0 are at risk. This includes applications that process user-supplied URLs without proper validation, particularly those deployed in environments where file system access is not strictly controlled. Shared hosting environments where the application has access to the host's file system are particularly vulnerable.
• nodejs / server:
npm list anything-llm | grep -q '1.0.0' || echo "Vulnerable version detected!" • generic web:
curl -I 'http://your-server/your-endpoint?url=file:///etc/passwd' | grep 'HTTP/1.1 403' # Check for access denieddisclosure
漏洞利用状态
EPSS
0.19% (41% 百分位)
CVSS 向量
最有效的缓解措施是立即将 anything-llm 升级至 1.0.0 版本，该版本修复了此漏洞。如果无法立即升级，可以考虑实施以下临时缓解措施：首先，验证所有传入的 URL，以确保它们不包含 file:// 协议。其次，限制应用程序对文件系统的访问权限，只允许访问必要的文件。第三，实施 Web 应用程序防火墙 (WAF) 或代理服务器，以过滤恶意请求。最后，监控应用程序日志，以检测任何可疑活动。
将 Anything LLM 应用程序更新到 1.0.0 或更高版本。此版本包含修复 SSRF 漏洞的补丁，以防止未经授权的系统文件访问。可以通过 npm 包管理器或遵循供应商提供的更新说明进行更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-0440 是 anything-llm 库中的一个服务器端请求伪造 (SSRF) 漏洞，攻击者可以利用它读取服务器文件。
如果您正在使用 anything-llm 的 1.0.0 及更早版本，则您可能受到此漏洞的影响。
立即将 anything-llm 升级至 1.0.0 版本以修复此漏洞。
虽然目前没有公开的利用代码，但由于漏洞的严重性，建议尽快采取缓解措施。
请访问 anything-llm 的 GitHub 仓库或相关安全公告网站以获取更多信息。