CVE-2024-8953

RCE w Composio przez niebezpieczne użycie eval() w kalkulatorze

CVSS 9.8v3.1pub. 2025-03-20upd. 2025-04-01

W wersji 0.4.3 platformy Composio endpoint mathematical_calculator przetwarza dane wejściowe za pomocą niebezpiecznej funkcji eval(), co umożliwia zdalne wykonanie dowolnego kodu. Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

In composiohq/composio version 0.4.3, the mathematical_calculator endpoint uses the unsafe eval() function to perform mathematical operations. This can lead to arbitrary code execution if untrusted input is passed to the eval() function.

🤖 Analiza AI

Jak działa

Endpoint mathematical_calculator przyjmuje dane wejściowe od użytkownika i przekazuje je bezpośrednio do funkcji eval() w celu wykonania operacji matematycznych. Funkcja eval() interpretuje przekazany łańcuch znaków jako kod i wykonuje go w kontekście aplikacji. Atakujący może spreparować złośliwy payload zamiast wyrażenia matematycznego i w ten sposób wywołać wykonanie dowolnego kodu po stronie serwera.

Skutki

Atakujący bez żadnych uprawnień może zdalnie wykonać dowolny kod na serwerze (RCE), co może skutkować pełnym przejęciem systemu, kradzieżą danych, instalacją backdoorów lub zakłóceniem działania usługi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się zastąpienie funkcji eval() bezpieczną biblioteką do parsowania wyrażeń matematycznych oraz wdrożenie ścisłej walidacji i sanityzacji danych wejściowych po stronie serwera.