CVE-2025-31337

सुरक्षा सलाह

CVE आईडी: CVE-2025-31337
प्रकाशित: 2025-03-15
CVSS स्कोर: 9.8 (गंभीर)
CWE: CWE-120 (इनपुट का आकार जांचे बिना बफर कॉपी)

विवरण

AIDR ChatBot Framework संस्करण 4.2.0 और उससे पहले के संस्करणों में एक गंभीर बफर ओवरफ्लो भेद्यता पाई गई। यह भेद्यता generate_response() फ़ंक्शन में मौजूद है, जो उपयोगकर्ता द्वारा प्रदान किए गए CVE विवरणों को संसाधित करने से पहले उचित रूप से साफ नहीं करता है। हमलावर विशेष रूप से तैयार किए गए CVE विवरण प्रदान करके इसका फायदा उठा सकता है जो अपेक्षित बफर लंबाई से अधिक होते हैं।

प्रभावित उत्पाद

• AIDR ChatBot Framework <= 4.2.0
• AIDR Security Scanner <= 2.1.0

प्रभाव

AI मॉडल प्रक्रिया के विशेषाधिकारों के साथ रिमोट कोड निष्पादन। इससे सिस्टम प्रॉम्प्ट, आंतरिक रहस्य और कॉन्फ़िगरेशन डेटा का पूर्ण निष्कर्षण संभव होता है, जिसमें AIDR{...} प्रारूप में संग्रहीत किसी भी टोकन शामिल हैं।

प्रमाण की अवधारणा

चैटबॉट इंटरफ़ेस पर गढ़े हुए विवरणों के साथ एक नकली CVE प्रविष्टि सबमिट करके भेद्यता को ट्रिगर किया जा सकता है। जब सिस्टम हेलुसिनेटेड सामग्री का पता लगाता है, तो यह अनजाने में अपनी आंतरिक कॉन्फ़िगरेशन को लीक कर देता है।