CVE-2024-4264
KrytyczneStreszczenie
W projekcie berriai/litellm występuje podatność na zdalne wykonanie kodu (RCE) spowodowana niewłaściwą kontrolą generowania kodu przy użyciu funkcji `eval` w metodzie `litellm.get_secret()`. Problem występuje, gdy serwer korzysta z Google KMS i nieprzyjazne dane są przekazywane do funkcji `eval` bez jakiejkolwiek sanitizacji.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność, wstrzykując złośliwe wartości do zmiennych środowiskowych przez punkt końcowy `/config/update`, co pozwala na aktualizację ustawień w pliku `proxy_server_config.yaml`. Może to prowadzić do poważnych naruszeń bezpieczeństwa systemu.
Rekomendacja
Zaleca się unikanie używania funkcji `eval` z niezaufanymi danymi oraz wprowadzenie odpowiednich mechanizmów sanitizacji danych przed ich użyciem. Należy również ograniczyć dostęp do punktu końcowego `/config/update` tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A remote code execution (RCE) vulnerability exists in the berriai/litellm project due to improper control of the generation of code when using the `eval` function unsafely in the `litellm.get_secret()` method. Specifically, when the server utilizes Google KMS, untrusted data is passed to the `eval` function without any sanitization. Attackers can exploit this vulnerability by injecting malicious values into environment variables through the `/config/update` endpoint, which allows for the update of settings in `proxy_server_config.yaml`.