CVE-2024-0549 是 mintplex-labs/anything-llm 项目中的一个路径遍历漏洞。该漏洞允许具有默认角色账户的未经授权的攻击者删除文件系统中的文件和文件夹，包括关键数据库文件。受影响的版本包括 1.0.0 及更早版本。已发布 1.0.0 版本以解决此问题。
攻击者可以利用此路径遍历漏洞，通过默认角色账户访问并删除 anything-llm 文件系统中的敏感数据。最严重的后果是数据库文件 'anythingllm.db' 的删除，这将导致数据丢失、服务中断和潜在的业务影响。攻击者还可以删除其他关键配置文件或数据文件，进一步破坏系统的稳定性和安全性。由于该漏洞允许对文件系统的任意访问，攻击者可能能够执行进一步的恶意操作，例如植入后门或窃取敏感信息。此漏洞的潜在影响类似于其他路径遍历漏洞，可能导致数据泄露和系统控制权丧失。
该漏洞已公开披露，并可能存在公开的利用代码。目前尚无关于该漏洞被积极利用的公开报告，但由于其高危等级和易于利用的特性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录。NVD 发布日期为 2024-04-16。
Organizations deploying Anything LLM with default role accounts are at immediate risk. Shared hosting environments where multiple users share the same application instance are particularly vulnerable, as an attacker could potentially compromise the entire environment. Legacy configurations that haven't been updated to the latest security patches are also at increased risk.
• nodejs / server:
ps aux | grep anything-llm
find / -name 'anythingllm.db' 2>/dev/null• generic web:
curl -I http://<your-anything-llm-server>/delete?path=../etc/passwd• generic web:
grep -r "../" /var/log/apache2/access.logdisclosure
漏洞利用状态
EPSS
0.25% (48% 百分位)
CISA SSVC
CVSS 向量
缓解此漏洞的首要措施是立即升级到 1.0.0 或更高版本。如果无法立即升级，可以考虑实施以下临时缓解措施：限制默认角色账户的权限，使其无法访问敏感文件和目录。实施严格的文件访问控制策略，确保只有授权用户才能访问关键文件。监控文件系统活动，检测任何未经授权的文件删除或修改操作。如果使用代理或 WAF，配置规则以阻止包含相对路径遍历模式的请求。在升级后，验证文件系统完整性，确保所有关键文件都存在且未被篡改。
Actualice Anything LLM a la versión 1.0.0 o posterior. Esta versión contiene una corrección para la vulnerabilidad de path traversal. La actualización evitará que usuarios no autorizados eliminen archivos y carpetas críticos.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-0549 是 mintplex-labs/anything-llm 项目中发现的路径遍历漏洞，允许攻击者删除文件和文件夹，包括数据库文件。
如果您正在使用 Anything LLM 的 1.0.0 或更早版本，则您可能受到此漏洞的影响。请立即升级到 1.0.0 或更高版本。
最简单的修复方法是升级到 1.0.0 或更高版本。如果无法升级，请限制默认角色账户的权限并监控文件系统活动。
目前尚无关于该漏洞被积极利用的公开报告，但由于其高危等级，建议尽快采取缓解措施。
请访问 mintplex-labs/anything-llm 的官方 GitHub 仓库或相关安全公告页面，以获取有关此漏洞的更多信息。