Podatności ash_ai

W bibliotece ash_ai (wersje od 0.6.0 przed 1.0.0) wykryto podatność polegającą na ujawnianiu wrażliwych informacji w komunikatach błędów. Wyjątki podczas wykonywania narzędzi są wysyłane do użytkownika czatu bez filtrowania, co może ujawnić wewnętrzne szczegóły techniczne.

W bibliotece ash_ai (wersje od 0.6.0 przed 1.0.0) wykryto podatność na nieskończoną pętlę. Atakujący, który może wpływać na odpowiedzi modelu, może zawiesić pętlę narzędzi i powodować nieograniczone, powtarzane żądania do modelu.

Podatność w ash_ai pozwala na obejście autoryzacji przez klucz kontrolowany przez użytkownika, umożliwiając aktualizację lub usunięcie rekordów, których tożsamość nie została potwierdzona, w tym wszystkich wierszy w tabeli. Filtr tożsamości jest budowany bezpośrednio z surowych argumentów narzędzia.

Podatność w ash_ai ujawnia stan żądania i poświadczenia dostawcy w komunikacie błędu walidacji widocznym dla użytkownika. Gdy wywołanie dostawcy osadzania nie powiedzie się, błąd zawiera surowy termin błędu, który może zawierać adres URL, treść odpowiedzi i nagłówek autoryzacji z kluczem API.

W bibliotece ash_ai projektu ash-project wykryto podatność związaną z błędem walidacji pochodzenia, która pozwala złośliwej stronie internetowej ominąć ochronę DNS-rebinding serwera MCP i wysyłać żądania cross-site do lokalnego serwera MCP użytkownika z jego uprawnieniami. Domyślna konfiguracja allowed_origins: nil powoduje akceptację pochodzenia, gdy uri.host == conn.host i schemat to https, przy czym obie wartości są kontrolowane przez atakującego. Problem dotyczy wersji od 0.8.0 przed 1.0.0.

W bibliotece ash_ai projektu ash-project wykryto podatność polegającą na niekontrolowanym generowaniu kodu (Code Injection). Zdalny, nieuwierzytelniony klient może wykonać dowolny kod Elixir, ponieważ funkcja AshAi.Actions.Prompt ocenia treść promptu przez EEx.eval_string/2. Treść promptu może zawierać dane od atakującego, które są kompilowane i wykonywane jako szablon EEx, np. <%= System.cmd(...) %>. Podatność dotyczy wersji od 0.1.0 przed 1.0.0.