PT-2024-22256 · Langchain · Langchain

Pinkdraconian · Publicado 2024-03-03 · Atualizado 2025-06-13 · CVE-2024-28088

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

LangChain versões 0.1.10 e anteriores

Descrição

A vulnerabilidade permite a traversal de diretórios ../ por um agente capaz de controlar a parte final do parâmetro path em uma chamada load chain. Isso contorna o comportamento pretendido de carregar configurações apenas a partir do repositório GitHub hwchase17/langchain-hub. O resultado pode ser a divulgação de uma chave de API para um serviço online de modelo de linguagem de grande porte ou a execução remota de código.

Recomendações

Para as versões 0.1.10 e anteriores do LangChain, atualize para a versão 0.1.29 ou posterior do langchain-core para resolver a vulnerabilidade.

Como solução alternativa temporária, considere restringir o uso da chamada load chain para minimizar o risco de exploração.

Evite usar o parâmetro path na chamada load chain afetada até que a vulnerabilidade seja resolvida.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

CWE-31

Identificadores relacionados

CVE-2024-28088

GHSA-H59X-P739-982C

PYSEC-2024-43

PYSEC-2024-45

Produtos afetados

Langchain

Referências · 17

• 🔥 https://github.com/langchain-ai/langchain/pull/18600 · Exploit
• 🔥 https://github.com/PinkDraconian/PoC-Langchain-RCE/blob/main/README.md · Exploit
• https://github.com/langchain-ai/langchain · Nota
• https://github.com/langchain-ai/langchain/blob/f96dd57501131840b713ed7c2e86cbf1ddc2761f/libs/core/langchain_core/utils/loading.py · Nota
• https://github.com/langchain-ai/langchain/commit/e1924b3e93d513ca950c72f8e80e1c133749fba5 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/langchain-core/PYSEC-2024-45.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/langchain/PYSEC-2024-43.yaml · Nota
• https://osv.dev/vulnerability/GHSA-h59x-p739-982c · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-28088 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-43 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-28088 · Nota de Segurança
• https://t.me/cvenotify/72900 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1764465258075177274 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1764431864381505718 · Publicação no Twitter
• https://twitter.com/modernsamurai10/status/1933536884090691805 · Publicação no Twitter