CVE-2024-12537 معمل اختبار رفض الخدمة لتنسيق الكود في Open WebUI

يحتوي هذا المستودع على معمل عزل محلي لإعادة إنتاج الثغرة ونموذج أولي لأداة Nuclei لـ CVE-2024-12537، وهي ثغرة رفض خدمة غير موثقة في نقطة نهاية تنسيق الكود في Open WebUI.

لا يرسل المعمل حمولات كبيرة لرفض الخدمة. بل يتحقق من منطق الكشف في Nuclei عبر نقطة نهاية بصمة الإصبع /api/version غير الموثقة في Open WebUI وطلب بسيط {"code":"x"} إلى /api/v1/utils/code/format، ثم يقارن إصدارة ضعيفة بإصدارة مصححة/أحدث.

الملخص

• المنتج: open-webui/open-webui
• الثغرة: استهلاك غير مسيطر عليه للموارد / رفض خدمة غير موثق
• CVE: CVE-2024-12537
• GHSA: GHSA-chf7-q7m5-fq92
• نقطة النهاية المتأثرة: POST /api/v1/utils/code/format
• نقطة نهاية بصمة الإصبع المستخدمة في هذا المعمل: GET /api/version
• الإصدارة الضعيفة الموثقة: v0.5.10
• الإصدارة المصححة/الأحدث الموثقة: v0.6.14
• حد الإصدار المستخدم في Nuclei هنا: < 0.5.14 لنموذج التهديد غير الموثق

المراجع:

• https://nvd.nist.gov/vuln/detail/CVE-2024-12537
• https://github.com/advisories/GHSA-chf7-q7m5-fq92
• https://huntr.com/bounties/edabd06c-acc0-428c-a481-271f333755bc

الملفات

• docker-compose.yml: يقوم بتشغيل Open WebUI باستخدام علامة Docker قابلة للتحديد
• verify-cve-2024-12537.sh: ينتظر حتى يصبح جاهزًا، ويطبع /api/version، ويشغل nuclei عندما يكون متاحًا
• nuclei/CVE-2024-12537.yaml: نموذج أولي لـ nuclei

المتطلبات

• محرك Docker أو Docker Desktop
• curl
• اختياري: nuclei

قم بتشغيل هذا فقط في معمل معزول محلي. لا تستخدم هذه الأوامر ضد أنظمة طرف ثالث. استخدم فقط ضد الأنظمة التي تملكها أو لديك إذن كتابي صريح باختبارها.

إعادة إنتاج كشف الإصدارة الضعيفة

شغّل Open WebUI الإصدارة v0.5.10:

WEBUI_TAG=v0.5.10 docker compose up -d

شغّل سكريبت التحقق:

sh verify-cve-2024-12537.sh

الاستجابة الملاحظة للإصدارة الضعيفة:

HTTP/1.1 200 OK
content-type: application/json

{"version":"0.5.10"}

مخرجات nuclei الملاحظة للإصدارة الضعيفة:

[CVE-2024-12537:dsl-1] [http] [high] http://127.0.0.1:3010/api/v1/utils/code/format ["0.5.10"]

التنظيف:

docker compose down -v

إعادة إنتاج التحكم في الإصدارة المصححة/الأحدث

شغّل Open WebUI الإصدارة v0.6.14:

WEBUI_TAG=v0.6.14 docker compose up -d

شغّل سكريبت التحقق:

sh verify-cve-2024-12537.sh

الاستجابة الملاحظة للإصدارة المصححة/الأحدث:

HTTP/1.1 200 OK
content-type: application/json

{"version":"0.6.14"}

مخرجات nuclei الملاحظة للإصدارة المصححة/الأحدث:

No results found

التنظيف:

docker compose down -v

Nuclei

التحقق من صحة النموذج:

nuclei -validate -t nuclei/CVE-2024-12537.yaml

التشغيل ضد المعمل المحلي:

nuclei -silent \
  -t nuclei/CVE-2024-12537.yaml \
  -include-templates nuclei/CVE-2024-12537.yaml \
  -u http://127.0.0.1:3010

السلوك المتوقع:

• v0.5.10: تطابق
• v0.6.14: لا تطابق

ملاحظات

• يتجنب النموذج عمدًا إرسال جسم طلب كبير إلى /api/v1/utils/code/format.
• يستخدم إثبات نقطة النهاية فقط {"code":"x"}، والذي أعاد {"code":"x\n"} على Docker v0.5.10 و{"detail":"Not authenticated"} على Docker v0.6.14.
• يتضمن أمر nuclei المثال -include-templates لأن القوالب الموسومة بـ dos قد تكون مستبعدة افتراضيًا.
• بعض إصدارات Open WebUI ترجع لفترة وجيزة curl: (52) Empty reply from server بينما التطبيق لا يزال قيد التشغيل. ينتظر سكريبت التحقق حتى يستجيب /api/version.
• يضبط ملف docker-compose.yml المتغيرين RAG_EMBEDDING_MODEL="" وRAG_EMBEDDING_MODEL_AUTO_UPDATE=False حتى لا يتوقف المعمل على تهيئة نموذج التضمين.