PT-2024-40094 · Vm2+1 · Vm2+1

Publicado 2024-11-21 · Atualizado 2024-11-21

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

Flowise (versões afetadas não especificadas)

Descrição:

A vulnerabilidade permite que desenvolvedores injetem configurações no Chainflow durante a execução por meio da opção overrideConfig, que é suportada tanto na integração web front-end quanto na API de previsão back-end. Esse recurso apresenta várias falhas de segurança, incluindo execução remota de código, fuga da sandbox, negação de serviço por travamento do servidor, falsificação de solicitação no lado do servidor, injeção de prompt e exfiltração de dados. Essas falhas podem ser exploradas para obter controle total sobre prompts de LLM, alterar o fluxo de uma conversa e exfiltrar variáveis e dados do servidor. As falhas são direcionadas ao próprio sistema e não afetam outros usuários, mas deixam o servidor e a empresa expostos.

Recomendações:

• Desative a opção overrideConfig por padrão.
• Implemente uma lista de permissão explícita de variáveis que podem ser modificadas por meio da opção overrideConfig.
• Remova o vm2 e quaisquer bifurcações dele, e substitua-o por uma alternativa recomendada, como o isolated-vm.

Correção

Enumeração de Fraquezas

CWE-15

Identificadores relacionados

GHSA-5CPH-WVM9-45GJ

Produtos afetados

Flowise

Vm2

Referências · 3

• https://github.com/FlowiseAI/Flowise · Nota
• https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-5cph-wvm9-45gj · Nota
• https://osv.dev/vulnerability/GHSA-5cph-wvm9-45gj · Aviso do Fabricante