Informazioni sul CVE-2024-0455

SSRF on AWS deployed instances of AnythingLLM via /metadata

CWE ID: CWE-918

Base Score (CVSS): N/A

CVE: CVE-2024-0455

Descrizione: L’inclusione dello scraper web per AnythingLLM significa che qualsiasi utente con il livello di autorizzazione appropriato (manager, amministratore e quando in singolo utente) potrebbe inserire l’URL “` http://169.254.169.254/latest/meta-data/identity-credentials/ec2/security-credentials/ec2-instance “` che è un indirizzo IP e URL speciale che si risolve solo quando la richiesta proviene da un’istanza EC2. Questo permetterebbe all’utente di vedere le credenziali di connessione/segreto per la sua specifica istanza e di poterla gestire indipendentemente da chi l’ha implementata. L’utente dovrebbe avere una conoscenza preesistente dell’infrastruttura di hosting su cui è disposta l’istanza target, ma se inviata – si risolve se è su EC2 e se la regola `iptable` o firewall non è configurata per il suo setup.

Vettore di attacco

Punteggio CVSS

Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.

Punteggio Base (calcolato da AziendaSicura): 0.0 (None)

Riassunto: .

Dettaglio del Vettore

Metrica Valore Significato Descrizione

Riferimenti esterni

Prodotti interessati

  • mintplex-labs – mintplex-labs/anything-llm

Relazioni con altri prodotti

Produttore:mintplex-labs
Prodotto: mintplex-labs/anything-llm
Anno: 2024
CWE: CWE-918
CVSS: 0.0

Ulteriori risorse disponibili