Podatności LLaMA-Factory

LLaMA-Factory do wersji 0.9.5 zawiera podatność zdalnego wykonania kodu, która pozwala atakującym z dostępem do interfejsu WebUI na wykonanie dowolnego kodu Python poprzez podanie złośliwej ścieżki modelu w interfejsach czatu lub trenowania. Aplikacja przekazuje niezweryfikowaną ścieżkę modelu do funkcji AutoTokenizer.from_pretrained() i AutoModel.from_pretrained() z zakodowanym na stałe parametrem trust_remote_code=True, co powoduje, że biblioteka Hugging Face transformers pobiera i wykonuje dowolny kod z zdalnego lub lokalnego repozytorium modeli z uprawnieniami procesu serwera.

LLaMA-Factory zawiera podatność na fałszerstwo żądań po stronie serwera (SSRF) w interfejsie API zgodnym z OpenAI do obsługi adresów URL multimediów, która pozwala nieuwierzytelnionym atakującym ominąć walidację SSRF. Funkcja check_ssrf_url waliduje adresy URL tylko raz, ale requests.get podąża za przekierowaniami i ponownie rozwiązuje DNS bez ponownej walidacji, co umożliwia atakującym użycie przekierowań HTTP lub ponownego wiązania DNS do uzyskania dostępu do wewnętrznych adresów i punktów końcowych metadanych chmury.

LLaMA-Factory przed wersją 0.9.4 zawiera podatność SSRF w API czatu, która pozwala uwierzytelnionemu użytkownikowi na zmuszenie serwera do wykonywania dowolnych żądań HTTP do sieci wewnętrznych i zewnętrznych. Ta sama podatność umożliwia również odczyt dowolnych plików z systemu plików serwera (LFI). Problem występuje w funkcji `_process_request` w `src/llamafactory/api/chat.py`, która nie waliduje URL-i.