CVE-2024-0455

AnythingLLM (versões afetadas não especificadas)

A vulnerabilidade permite que usuários com níveis de autorização adequados (gerente, administrador e no modo de usuário único) acessem informações confidenciais usando um web scraper para consultar uma URL específica: “http://169.254.169.254/latest/meta-data/identity-credentials/ec2/security-credentials/ec2-instance”. Essa URL só pode ser resolvida a partir de uma instância EC2 e pode revelar credenciais de conexão e segredos da instância, possibilitando o gerenciamento não autorizado. A exploração requer conhecimento prévio da infraestrutura de hospedagem e condições específicas, como regras de iptables ou firewall configuradas incorretamente.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.