PT-2024-23736 · Unknown · Anything-Llm
CVE-2024-3104
·
Publicado
2024-06-06
·
Atualizado
2024-10-15
CVSS v3.1
9.6
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do anything-llm anteriores à 1.0.0
Descrição
Existe uma vulnerabilidade de execução remota de código devido ao tratamento inadequado de variáveis de ambiente. Os invasores podem explorar essa vulnerabilidade injetando variáveis de ambiente arbitrárias por meio do endpoint “POST /api/system/update-env”, permitindo a execução de código arbitrário no host que executa o anything-llm. A exploração bem-sucedida pode levar à execução de código no host, permitindo que os invasores leiam e modifiquem dados acessíveis ao usuário que executa o serviço, o que pode resultar em uma negação de serviço.
Recomendações
Para versões do anything-llm anteriores à 1.0.0, atualize para a versão 1.0.0 para resolver a vulnerabilidade.
Como solução temporária, considere restringir o acesso ao endpoint “POST /api/system/update-env” até que a atualização seja aplicada.
Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Anything-Llm