PT-2024-38028 · Unknown · Mudler/Localai

CVE-2024-7010 · Publicado 2024-10-29 · Atualizado 2024-11-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

mudler/localai versão 2.17.1

Descrição

A vulnerabilidade consiste em um ataque de temporização, um tipo de ataque de canal lateral que permite que um invasor comprometa o sistema criptográfico ao analisar o tempo gasto na execução de algoritmos criptográficos. No contexto do tratamento de senhas, um invasor pode determinar credenciais de login válidas com base no tempo de resposta do servidor, o que pode levar a um acesso não autorizado.

Recomendações

Para a versão 2.17.1 do mudler/localai, considere implementar medidas para mitigar ataques de temporização, como adicionar atrasos aleatórios ao tempo de resposta do servidor ou usar uma função de comparação de tempo constante para verificação de senha. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Side Channel Attack

Enumeração de Fraquezas

CWE-203

CWE-208

Identificadores relacionados

CVE-2024-7010

Produtos afetados

Mudler/Localai

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/7xxx/CVE-2024-7010.json · Exploit
• 🔥 https://huntr.com/bounties/e286ed00-6383-47de-b5bc-9b9fad67c362 · Exploit
• https://github.com/mudler/localai/commit/db1159b6511e8fa09e594f9db0fec6ab4e142468 · Correção
• https://t.me/cvenotify/101685 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-7010 · Aviso do Fabricante
• https://t.me/cvedetector/9321 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-7010 · Nota de Segurança