CVE-2025-58180

सारांश

OctoPrint उपभोक्ता 3D प्रिंटरों को नियंत्रित करने के लिए एक वेब इंटरफ़ेस प्रदान करता है। OctoPrint के 1.11.2 तक और उस सहित सभी संस्करणों में एक भेद्यता मौजूद है जो एक प्रमाणित हमलावर को विशेष रूप से तैयार किए गए फ़ाइलनाम के अंतर्गत एक फ़ाइल अपलोड करने की अनुमति देती है, जो मनमाना कमांड निष्पादन की अनुमति देगी यदि उक्त फ़ाइलनाम सिस्टम इवेंट हैंडलर में परिभाषित किसी कमांड में शामिल हो जाता है और उक्त इवेंट ट्रिगर हो जाता है। यदि अपलोड किए गए फ़ाइलनामों को पैरामीटर के रूप में उपयोग करने वाले सिस्टम कमांड निष्पादित करने वाले कोई इवेंट हैंडलर कॉन्फ़िगर नहीं किए गए हैं, तो इस भेद्यता का कोई प्रभाव नहीं पड़ता है। यह भेद्यता संस्करण 1.11.3 में पैच की गई है। एक वर्कअराउंड के रूप में, OctoPrint व्यवस्थापक जिन्होंने इवेंट हैंडलर कॉन्फ़िगर किए हैं जिनमें किसी भी प्रकार के फ़ाइलनाम-आधारित प्लेसहोल्डर शामिल हैं, उन्हें अपनी `enabled` प्रॉपर्टी को `False` पर सेट करके या GUI-आधारित Event Manager में "Enabled" चेकबॉक्स को अनचेक करके उन्हें अक्षम करना चाहिए। वैकल्पिक रूप से, OctoPrint व्यवस्थापकों को `config.yaml` में `feature.enforceReallyUniversalFilenames` को `true` पर सेट करना चाहिए और OctoPrint को पुनरारंभ करना चाहिए, फिर मौजूदा अपलोड की जाँच करें और किसी भी संदिग्ध दिखने वाली फ़ाइल को हटाना सुनिश्चित करें। हमेशा की तरह, OctoPrint व्यवस्थापकों को सलाह दी जाती है कि वे OctoPrint को सार्वजनिक इंटरनेट जैसे शत्रुतापूर्ण नेटवर्क पर उजागर न करें, और यह सुनिश्चित करें कि उनके इंस्टेंस तक किसकी पहुँच है।

• CVE-2025-58180PoC

  OctoPrint संस्करण <=1.11.2 में, फ़ाइल अपलोड पहुंच रखने वाला हमलावर (जैसे, वैध API कुंजी या सत्र) एक दुर्भावनापूर्ण फ़ाइलनाम बना सकता है जो सैनिटाइज़ेशन को बायपास करता है और बाद में OctoPrint की इवेंट प्रणाली द्वारा निष्पादित किया जाता है, जिससे होस्ट पर रिमोट कोड निष्पादन (RCE) होता है।