CVE-2024-41703

LibreChat — nieprawidłowa kontrola dostępu przy aktualizacji wiadomości

CVSS 9.8v3.1pub. 2024-07-22upd. 2024-11-21

LibreChat w wersjach do 0.7.4-rc1 włącznie zawiera błąd nieprawidłowej kontroli dostępu (CWE-284) dotyczący aktualizacji wiadomości. Podatność o ocenie CVSS 9.8 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie nieautoryzowanych operacji na wiadomościach innych użytkowników.

▸ Pokaż oryginał (EN)

LibreChat through 0.7.4-rc1 has incorrect access control for message updates.

🤖 Analiza AI

Jak działa

Mechanizm kontroli dostępu odpowiedzialny za weryfikację uprawnień przy aktualizacji wiadomości jest zaimplementowany nieprawidłowo. Atakujący może wysyłać żądania modyfikacji wiadomości bez posiadania stosownych uprawnień, ponieważ aplikacja nie weryfikuje właściwie tożsamości ani uprawnień żądającego. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni exploit wyjątkowo łatwym do przeprowadzenia.

Skutki

Atakujący może bez uwierzytelnienia uzyskać nieautoryzowany dostęp do treści wiadomości, modyfikować je lub je usuwać, co prowadzi do naruszenia poufności, integralności i dostępności danych przechowywanych w systemie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — poprawka została wprowadzona w ramach pull request #3363 w repozytorium GitHub projektu LibreChat

Kogo dotyczy

LibreChat we wszystkich wersjach do 0.7.4-rc1 włącznie

Uwagi

Podatność została ujawniona przez zespół realestate.com.au i udokumentowana w ich repozytorium vulnerability-disclosures. Szczegółowe informacje dostępne pod adresem: https://github.com/realestate-com-au/vulnerability-disclosures/blob/main/LibreChat/CVE-2024-41703.md