Podatności FastGPT

FastGPT przed wersją 4.15.2 ma nieautoryzowany dostęp do punktów końcowych kanału WeChat (iLink) opartych wyłącznie na publicznym shareId. Atakujący bez uwierzytelnienia może przejąć kanał WeChat ofiary, podmienić dane uwierzytelniające bota i ujawnić prywatne odpowiedzi aplikacji.

W FastGPT do wersji z commitem 22ebfacbb43311e9b73294040ae0eb87390c6bba, artefakty zbudowane z niezaufanego kodu pull request w przepływach pracy GitHub Actions mogą być pobierane przez uprzywilejowane zadania workflow_run, co pozwala atakującemu na wypchnięcie kontrolowanych obrazów Docker do GHCR i, w przypadku podglądów dokumentacji, na wdrożenie z sekretem KUBE_CONFIG_CN.

FastGPT w wersjach od 4.14.10 do 4.14.13 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu (RCE) w komponencie agent-sandbox. Skrypt startowy entrypoint.sh inicjalizuje code-server z flagą --auth none i wiąże usługę ze wszystkimi interfejsami sieciowymi (0.0.0.0:8080), co pozwala każdemu użytkownikowi z dostępem sieciowym na ominięcie uwierzytelniania i przejęcie kontroli nad środowiskiem sandbox.

FastGPT przed wersją 4.14.9.5 udostępnia endpoint /api/core/app/httpTools/runTool bez uwierzytelnienia. Działa on jako pełne proxy HTTP, umożliwiając atakującemu wykonywanie dowolnych żądań HTTP z serwera.

W FastGPT od wersji 4.14.17 do 4.15.0-beta5 uwierzytelniony użytkownik może zapisać węzeł przepływu pracy odwołujący się do prywatnego zestawu narzędzi HTTP innego użytkownika, używając spreparowanego identyfikatora narzędzia. Brak odpowiedniej kontroli autoryzacji w ścieżce zapisu i wykonania przepływu pracy umożliwia wykonanie narzędzia HTTP należącego do ofiary.

FastGPT w wersji 4.15.0-beta4 posiada podatność w endpointach reverse-call pod /api/invoke/*, które uwierzytelniają jedynie przez JWT podpisany domyślnym, stałym sekretem 'token'. Niezautoryzowany atakujący może samodzielnie podpisać token HS256 i uzyskać dostęp do danych użytkowników (PII) z różnych dzierżawców lub zapisać dowolną treść do plików czatu.

FastGPT przed wersją 4.15.0-beta5 zawiera podatność SSRF polegającą na tym, że mechanizm ochrony sprawdza tylko początkowy adres URL żądania, a biblioteka axios domyślnie podąża za przekierowaniami. Uwierzytelniony użytkownik przepływu pracy może skonfigurować węzeł HTTP tak, aby wywoływał publiczny URL kontrolowany przez atakującego, który przekierowuje do metadanych chmury, pętli zwrotnej lub usług wewnętrznych, które ochrona zablokowałaby przy bezpośrednim żądaniu, a węzeł HTTP zwraca treść odpowiedzi do wywołującego przepływ.

Podatność w FastGPT umożliwia niskouprzywilejowanemu użytkownikowi dzierżawy dostęp do cytatów lub pełnotekstowej zawartości zbiorów danych innego dzierżawcy poprzez manipulację parametrem initialId w endpointcie POST /api/core/chat/record/getCollectionQuote. Problem występuje w wersjach od 4.14.17 do 4.15.0-beta5.

W FastGPT przed wersją v4.15.0-beta5 dwa moduły obsługi plików autoryzują niezwiązany zasób, a następnie podpisują lub odczytują obiekt S3 przy użyciu klucza pobranego bezpośrednio z żądania, bez sprawdzania, czy klucz należy do zespołu wywołującego. Ponieważ klucze obiektów S3 są globalne w obrębie bucketa i zawierają identyfikator dzierżawcy tylko jako segment ścieżki, atakujący może podać klucz innego zespołu i uzyskać zawartość jego plików przez endpoint presignowania plików czatu lub endpoint podglądu zbioru danych.

W FastGPT przed wersją 4.15.0-beta4, importer schematów OpenAPI narzędzia HTTP waliduje tylko najwyższy poziom URL, a następnie przekazuje go do SwaggerParser.bundle, którego resolver zdalnych referencji pobiera URL-e z $ref bez ochrony przed adresami wewnętrznymi FastGPT i zwraca pobraną treść w linii, co pozwala uwierzytelnionemu członkowi zespołu na odczyt wewnętrznych usług lub metadanych chmury.

W FastGPT przed wersją 4.15.0, endpoint GET /api/core/ai/record/getRecord uwierzytelnia wywołującego, ale ładuje ślady żądań i odpowiedzi LLM tylko na podstawie requestId bez sprawdzania przynależności do zespołu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi odczytanie promptów, pobranych fragmentów RAG i odpowiedzi innego zespołu, jeśli zna requestId.

Podatność w FastGPT umożliwia uwierzytelnionemu użytkownikowi jednego najemcy wywołanie endpointu POST /api/core/dataset/collection/create/reTrainingCollection w sposób, który utrwala identyfikator zestawu danych należący do innego najemcy. Prowadzi to do powstania mieszanych obiektów zestawów danych, a następnie punkty końcowe podejmują decyzje autoryzacyjne na podstawie niespójnych właścicieli, co pozwala na odczyt, modyfikację i usuwanie danych między najemcami, gdy znane są identyfikatory mieszanych obiektów.

FastGPT przed wersją 4.15.0-beta1 ma podatność w sandboxie JavaScript w pliku projects/code-sandbox/src/pool/worker.ts:356. Regex blokujący dynamiczne import() nie uwzględnia komentarzy blokowych między 'import' a '('. Atakujący może użyć ładunku import/**/("child_process"), który omija regex i wykonuje dowolne polecenia jako uid=100(sandbox) w kontenerze sandboxa.

FastGPT, platforma do budowania agentów AI, przed wersją 4.15.0-beta1 zawiera podatność SSRF (Server-Side Request Forgery). Uwierzytelniony atakujący może ominąć globalną ochronę sieci isInternalAddress i wykonywać dowolne żądania HTTP GET do wewnętrznych usług sieciowych, wykorzystując niekompletną poprawkę w punkcie końcowym podglądu zestawu danych /api/core/dataset/file/getPreviewChunks przy użyciu typu importu danych externalFile.

FastGPT przed wersją 4.14.17 zawiera podatność SSRF (Server-Side Request Forgery) bez uwierzytelniania. Funkcja fetchData w węźle lafModule nie waliduje URL-i względem bloklisty wewnętrznej, co pozwala na wysyłanie żądań do adresów wewnętrznych/prywatnych.

FastGPT przed wersją 4.14.17 ma niespójną ochronę SSRF w obsłudze URL-i narzędzi MCP. Endpointy podglądu/wykonania MCP odrzucają wewnętrzne URL-e, ale endpointy tworzenia/aktualizacji MCP mogą zapisać wewnętrzny URL, który później jest używany bez ponownej walidacji.

FastGPT do wersji 4.14.11 włącznie zawiera podatność SSRF w funkcji isInternalAddress(), która sprawdza punkty końcowe metadanych chmury za pomocą startsWith() na zakodowanej na sztywno liście. Obejście jest możliwe przez co najmniej 7 technik kodowania URL. Dodatkowo sprawdzanie prywatnych IP jest domyślnie wyłączone.

FastGPT w wersjach do 4.14.11 jest podatny na atak DNS rebinding (TOCTOU) w funkcji isInternalAddress(). Funkcja sprawdza adres IP przed żądaniem HTTP, ale nowa rozdzielczość DNS podczas żądania może zwrócić inny adres, omijając walidację. Brak publicznie dostępnych poprawek.

FastGPT w wersjach do 4.14.13 ma słabą izolację zasobów w komponencie code-sandbox. Brak ścisłych ograniczeń na poziomie systemu operacyjnego (np. cgroups) pozwala atakującym ominąć kontrole pamięci i przeciążyć pulę wątków JavaScript, powodując całkowitą odmowę usługi (DoS).

W FastGPT przed wersją 4.14.9.5 endpointy MCP tools (/api/core/app/mcpTools/getTools i /api/core/app/mcpTools/runTool) akceptują dostarczony przez użytkownika parametr URL i wykonują żądania HTTP po stronie serwera bez walidacji, czy URL wskazuje na adres wewnętrzny/prywatny. Brakuje funkcji isInternalAddress() używanej w innych endpointach. Uwierzytelniony atakujący może skanować sieci wewnętrzne, uzyskać dostęp do metadanych chmury i wewnętrznych usług (MongoDB, Redis).