CVE-2024-3098
KrytyczneStreszczenie
Zidentyfikowano podatność w klasie `exec_utils` pakietu `llama_index`, szczególnie w funkcji `safe_eval`, która umożliwia wstrzykiwanie poleceń prowadzące do wykonania dowolnego kodu. Problem wynika z niewystarczającej walidacji danych wejściowych, co może być wykorzystane do obejścia ograniczeń metod i wykonania nieautoryzowanego kodu.
Ocena ryzyka
Podatność ta stanowi poważne zagrożenie dla organizacji, ponieważ umożliwia wykonanie dowolnego kodu na systemie, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem. Jest to obejście wcześniej rozwiązanej podatności CVE-2023-39662.
Rekomendacja
Zaleca się aktualizację pakietu `llama_index` do najnowszej wersji, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów walidacji danych wejściowych w aplikacjach korzystających z tej biblioteki.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in the `exec_utils` class of the `llama_index` package, specifically within the `safe_eval` function, allowing for prompt injection leading to arbitrary code execution. This issue arises due to insufficient validation of input, which can be exploited to bypass method restrictions and execute unauthorized code. The vulnerability is a bypass of the previously addressed CVE-2023-39662, demonstrated through a proof of concept that creates a file on the system by exploiting the flaw.