CVE-2025-64513

सारांश

Milvus एक ओपन-सोर्स वेक्टर डेटाबेस है जिसे जनरेटिव AI अनुप्रयोगों के लिए बनाया गया है। एक अनप्रमाणित (unauthenticated) हमलावर 2.4.24, 2.5.21, और 2.6.5 से पहले के संस्करणों में एक भेद्यता का फायदा उठाकर Milvus Proxy घटक में सभी प्रमाणीकरण तंत्रों को बायपास कर सकता है, जिससे उसे Milvus क्लस्टर तक पूर्ण प्रशासनिक पहुंच प्राप्त हो जाती है। यह हमलावर को डेटा पढ़ने, संशोधित करने, या हटाने की क्षमता प्रदान करता है, साथ ही डेटाबेस या कलेक्शन प्रबंधन जैसे विशेषाधिकार प्राप्त प्रशासनिक कार्य करने की भी क्षमता देता है। यह समस्या Milvus 2.4.24, 2.5.21, और 2.6.5 में ठीक कर दी गई है। यदि तत्काल अपग्रेड संभव नहीं है, तो Milvus Proxy तक पहुंचने से पहले गेटवे, API गेटवे, या लोड बैलेंसर स्तर पर सभी आने वाले अनुरोधों से sourceID हेडर को हटाकर एक अस्थायी शमन (mitigation) लागू किया जा सकता है। यह हमलावरों को प्रमाणीकरण बायपास व्यवहार का फायदा उठाने से रोकता है।

• CVE-2025-64513PoC

  CVE-2025-64513 के लिए PoC — Milvus प्रॉक्सी प्रमाणीकरण बाईपास भेद्यता बैच स्कैनर अनधिकृत पहुंच को सत्यापित करने और Milvus संस्करण, स्वास्थ्य और डेटाबेस जानकारी एकत्र करने के लिए। केवल सुरक्षा अनुसंधान और रक्षात्मक सत्यापन के लिए।