PT-2025-24438 · Fastgpt · Fastgpt
Daisme666
+1
·
Publicado
2025-06-09
·
Atualizado
2025-12-29
·
CVE-2025-49131
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do FastGPT anteriores à 4.9.11
Descrição
O problema refere-se ao container Sandbox no FastGPT, que possui isolamento insuficiente e restrições inadequadas na execução de código. Isso permite que atacantes escapem dos limites pretendidos do sandbox explorando syscalls excessivamente permissivas. Como resultado, os atacantes podem ler e sobrescrever arquivos arbitrários e contornar restrições de importação de módulos Python. Não é fornecida uma estimativa do número de dispositivos potencialmente afetados em todo o mundo. Não há informações sobre incidentes reais onde esse problema foi explorado.
Recomendações
Para versões anteriores à 4.9.11, atualize para a versão 4.9.11, que restringe as chamadas de sistema permitidas a um subconjunto mais seguro e fornece mensagens de erro descritivas adicionais. Como medida temporária, considere restringir o acesso ao container
fastgpt-sandbox para minimizar o risco de exploração. Evite utilizar o container Sandbox para executar código submetido por usuários ou gerado dinamicamente até que o problema seja resolvido.Exploit
Correção
Incorrect Permission
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Fastgpt