CVE-2024-12537 ओपन वेबयूआई कोड फॉर्मेट DoS लैब

यह रिपॉजिटरी CVE-2024-12537 के लिए एक स्थानीय, पृथक पुनरुत्पादन लैब और न्यूक्ली टेम्पलेट उम्मीदवार रखती है, जो ओपन वेबयूआई के कोड फॉर्मेटिंग एंडपॉइंट में एक अप्रमाणित डिनायल-ऑफ-सर्विस कमजोरी है।

लैब बड़े डिनायल-ऑफ-सर्विस पेलोड नहीं भेजता। यह ओपन वेबयूआई के अप्रमाणित /api/version फिंगरप्रिंट एंडपॉइंट और /api/v1/utils/code/format पर एक न्यूनतम {"code":"x"} अनुरोध के माध्यम से न्यूक्ली डिटेक्शन लॉजिक को मान्य करता है, फिर एक कमजोर संस्करण की तुलना पैच किए गए/नए संस्करण से करता है।

सारांश

• उत्पाद: open-webui/open-webui
• कमजोरी: अप्रमाणित अनियंत्रित संसाधन खपत / सेवा से वंचित
• CVE: CVE-2024-12537
• GHSA: GHSA-chf7-q7m5-fq92
• प्रभावित एंडपॉइंट: POST /api/v1/utils/code/format
• इस लैब द्वारा उपयोग किया गया फिंगरप्रिंट एंडपॉइंट: GET /api/version
• मान्य किया गया कमजोर संस्करण: v0.5.10
• मान्य किया गया पैच/नया संस्करण: v0.6.14
• यहाँ उपयोग किया गया न्यूक्ली कटऑफ: अप्रमाणित खतरे के मॉडल के लिए < 0.5.14

संदर्भ:

• https://nvd.nist.gov/vuln/detail/CVE-2024-12537
• https://github.com/advisories/GHSA-chf7-q7m5-fq92
• https://huntr.com/bounties/edabd06c-acc0-428c-a481-271f333755bc

फ़ाइलें

• docker-compose.yml: डॉकर टैग चुनने के साथ ओपन वेबयूआई शुरू करता है
• verify-cve-2024-12537.sh: तैयारी की प्रतीक्षा करता है, /api/version प्रिंट करता है, और उपलब्ध होने पर न्यूक्ली चलाता है
• nuclei/CVE-2024-12537.yaml: न्यूक्ली टेम्पलेट उम्मीदवार

आवश्यकताएँ

• डॉकर इंजन या डॉकर डेस्कटॉप
• curl
• वैकल्पिक: nuclei

इसे केवल एक स्थानीय पृथक लैब में चलाएँ। इन कमांड्स का उपयोग तीसरे पक्ष के सिस्टम के विरुद्ध न करें। केवल उन सिस्टम के विरुद्ध उपयोग करें जिनके मालिक आप हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है।

कमजोर-संस्करण का पता लगाने का पुनरुत्पादन

ओपन वेबयूआई v0.5.10 शुरू करें:

WEBUI_TAG=v0.5.10 docker compose up -d

सत्यापन स्क्रिप्ट चलाएँ:

sh verify-cve-2024-12537.sh

कमजोर-संस्करण प्रतिक्रिया देखी गई:

HTTP/1.1 200 OK
content-type: application/json

{"version":"0.5.10"}

कमजोर-संस्करण न्यूक्ली आउटपुट देखा गया:

[CVE-2024-12537:dsl-1] [http] [high] http://127.0.0.1:3010/api/v1/utils/code/format ["0.5.10"]

सफाई करें:

docker compose down -v

पैच/नए-संस्करण नियंत्रण का पुनरुत्पादन

ओपन वेबयूआई v0.6.14 शुरू करें:

WEBUI_TAG=v0.6.14 docker compose up -d

सत्यापन स्क्रिप्ट चलाएँ:

sh verify-cve-2024-12537.sh

पैच/नए-संस्करण प्रतिक्रिया देखी गई:

HTTP/1.1 200 OK
content-type: application/json

{"version":"0.6.14"}

पैच/नए-संस्करण न्यूक्ली आउटपुट देखा गया:

No results found

सफाई करें:

docker compose down -v

न्यूक्ली

टेम्पलेट को मान्य करें:

nuclei -validate -t nuclei/CVE-2024-12537.yaml

स्थानीय लैब के विरुद्ध चलाएँ:

nuclei -silent \
  -t nuclei/CVE-2024-12537.yaml \
  -include-templates nuclei/CVE-2024-12537.yaml \
  -u http://127.0.0.1:3010

अपेक्षित व्यवहार:

• v0.5.10: मिलान
• v0.6.14: कोई मिलान नहीं

नोट्स

• टेम्पलेट जानबूझकर /api/v1/utils/code/format पर एक बड़ा अनुरोध बॉडी भेजने से बचता है।
• एंडपॉइंट प्रमाण केवल {"code":"x"} का उपयोग करता है, जिसने डॉकर v0.5.10 पर {"code":"x\n"} और डॉकर v0.6.14 पर {"detail":"Not authenticated"} लौटाया।
• उदाहरण न्यूक्ली कमांड में -include-templates शामिल है क्योंकि dos टैग वाले टेम्पलेट डिफ़ॉल्ट रूप से बाहर किए जा सकते हैं।
• कुछ ओपन वेबयूआई संस्करण एप्लिकेशन अभी भी शुरू होने के दौरान अस्थायी रूप से curl: (52) Empty reply from server लौटाते हैं। सत्यापन स्क्रिप्ट तब तक प्रतीक्षा करती है जब तक /api/version जवाब नहीं देता।
• docker-compose.yml RAG_EMBEDDING_MODEL="" और RAG_EMBEDDING_MODEL_AUTO_UPDATE=False सेट करता है ताकि लैब एम्बेडिंग मॉडल आरंभीकरण पर अवरुद्ध न हो।
• गिटहब एडवाइज़री वर्तमान में प्रभावित पैकेज संस्करणों को <= 0.3.32 के रूप में सूचीबद्ध करती है; यह लैब कमिट ट्रेसिंग के आधार पर अप्रमाणित कोड-पथ कटऑफ < 0.5.14 का उपयोग करता है। प्रासंगिक अनुक्रम d3d161f72 (कोई प्रमाणीकरण नहीं, v0.5.0-v0.5.13), 2f75eef49 (get_verified_user जोड़ता है, v0.5.14+), और 4fe45d443 (get_admin_user को मजबूत करता है, v0.6.14+) है।
• कोई वास्तविक-दुनिया लक्ष्य उपयोग नहीं किए गए।