CVE-2024-4320 lollms-webui RCE 漏洞：远程代码执行

CVE-2024-4320 在 parisneo/lollms-webui 中存在一个关键的远程代码执行 (RCE) 漏洞。该漏洞位于 '/installextension' 端点，具体来说是在 ExtensionBuilder().buildextension() 方法中对 'name' 参数的处理不当。这种不当处理允许本地文件包含 (LFI)，攻击者可以利用此漏洞在服务器上执行任意代码。由于目前没有提供修复程序 (fix)，使用此应用程序的系统极易受到攻击。CVSS 分数为 9.8，表明影响程度极高，这意味着具有网络访问权限的攻击者可以在未经身份验证的情况下破坏系统。缺少 KEV (知识条目验证) 表明有关此漏洞的信息相对较新，并且可能未在漏洞数据库中广泛记录。

Organizations deploying lollms-webui, particularly those running it in production environments or on systems containing sensitive data, are at significant risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as a compromise of one user's installation could potentially impact others.

• linux / server:

journalctl -u lollms-webui -g 'install_extension' | grep -i 'file: ' # Look for suspicious file paths

• generic web:

curl -I http://your-lollms-webui/install_extension?name=../../../../etc/passwd # Attempt LFI

• python / supply-chain: Inspect the ExtensionBuilder().build_extension() method in the lollms-webui source code for improper input validation.

1. 2024-06-06Disclosure

   disclosure

1. 已保留2024-04-29
2. 发布日期2024-06-06
3. 修改日期2024-08-01
4. EPSS 更新日期2026-04-02

由于开发人员没有提供官方的修复程序 (fix)，最有效的即时缓解措施是禁用或删除 parisneo/lollms-webui 应用程序中的 '/installextension' 端点。如果需要扩展安装功能，我们强烈建议联系开发人员以请求解决此漏洞的更新。作为额外的安全措施，仅将应用程序访问限制为授权用户，并考虑实施防火墙以限制来自外部网络的对该漏洞端点的访问。监控服务器日志，查找与 '/installextension' 端点相关的可疑活动。一旦可用，升级到应用程序的最新版本是最终解决方案。