CVE-2024-6868

mudler/LocalAI versão 2.17.1

O problema decorre do tratamento inadequado da extração automática de arquivos compactados nas configurações do modelo. Quando arquivos compactados (por exemplo, .tar) são especificados, eles são extraídos automaticamente após o download, o que pode permitir um ataque do tipo “tarslip”. Isso pode permitir a gravação de arquivos em locais arbitrários do servidor, contornando as restrições normais ao diretório dos modelos. O problema pode levar à execução remota de código (RCE) por meio da sobrescrita de recursos do backend.

Para a versão 2.17.1 do mudler/LocalAI, considere desativar a extração automática de arquivos compactados até que uma correção esteja disponível para evitar possíveis explorações. Restrinja o acesso às configurações de modelo que especifiquem arquivos adicionais como arquivos compactados para minimizar o risco de gravação arbitrária de arquivos.