PT-2025-12292 · Unknown · Open-Webui

Publicado 2025-03-20 · Atualizado 2025-03-22 · CVE-2024-9840

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas open-webui/open-webui versão 0.3.21

Descrição Existe uma vulnerabilidade de Negação de Serviço (DoS) que afeta múltiplos endpoints, incluindo "/ollama/models/upload", "/audio/api/v1/transcriptions" e "/rag/api/v1/doc". A aplicação processa boundaries multipart sem autenticação, levando ao esgotamento de recursos. Ao anexar caracteres adicionais ao boundary multipart, um atacante pode fazer com que o servidor processe cada byte do boundary, resultando finalmente na indisponibilidade do serviço. Esta vulnerabilidade pode ser explorada remotamente, resultando em alto uso de CPU e memória, tornando o serviço inacessível para usuários legítimos.

Recomendações Para o open-webui/open-webui versão 0.3.21, considere implementar autenticação para o processamento de boundaries multipart para prevenir acesso não autorizado e esgotamento de recursos. Como solução temporária, restrinja o acesso aos endpoints afetados para minimizar o risco de exploração.

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2024-9840

GHSA-5CCF-884P-4JJQ

Produtos afetados

Open-Webui

Referências · 7

• https://github.com/open-webui/open-webui · Nota
• https://github.com/Kludex/python-multipart/security/advisories/GHSA-59g5-xgcq-4qw3 · Nota
• https://huntr.com/bounties/9178f09e-4d4f-4a5b-bc32-cada7445b03c · Nota
• https://twitter.com/CVEnew/status/1903336825244078148 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-5ccf-884p-4jjq · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-9840 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-53981 · Nota de Segurança