CVE-2024-8958

Composio: nieograniczony zapis/odczyt plików prowadzący do RCE

CVSS 9.8v3.1pub. 2025-03-20upd. 2025-04-01

W Composio w wersji 0.4.3 występuje podatność nieograniczonego zapisu i odczytu plików w module filetools, wynikająca z braku właściwej walidacji ścieżek plików. Luka jest krytyczna, ponieważ nieuwierzytelniony atakujący sieciowy może odczytywać i zapisywać dowolne pliki na serwerze, co może prowadzić do privilege escalation lub remote code execution.

▸ Pokaż oryginał (EN)

In composiohq/composio version 0.4.3, there is an unrestricted file write and read vulnerability in the filetools actions. Due to improper validation of file paths, an attacker can read and write files anywhere on the server, potentially leading to privilege escalation or remote code execution.

🤖 Analiza AI

Jak działa

Podatność (CWE-434) polega na tym, że akcje filetools w Composio nie weryfikują poprawnie ścieżek podawanych przez użytkownika. Atakujący może przekazać spreparowane ścieżki (np. z użyciem sekwencji path traversal), aby uzyskać dostęp do dowolnych lokalizacji w systemie plików serwera. Dzięki możliwości zapisu plików w wybranych lokalizacjach atakujący może np. podmienić pliki konfiguracyjne, skrypty startowe lub umieścić złośliwy kod wykonywalny, co w konsekwencji może prowadzić do przejęcia kontroli nad serwerem.

Skutki

Atakujący może odczytać poufne dane przechowywane na serwerze (w tym dane uwierzytelniające, klucze prywatne) oraz zapisać złośliwe pliki w dowolnym miejscu systemu, co umożliwia privilege escalation lub pełne remote code execution na serwerze.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu sieciowego do instancji Composio wyłącznie do zaufanych hostów oraz monitorowanie aktywności w module filetools do czasu wdrożenia aktualizacji.

Kogo dotyczy

Composio (composiohq/composio) w wersji 0.4.3

Uwagi

Szczegóły podatności zostały ujawnione za pośrednictwem platformy huntr.com (program bug bounty). Podatność dotyczy konkretnie modułu filetools i akcji związanych z operacjami na plikach.