CVE-2024-8309

概要

langchain-ai/langchain バージョン 0.2.5 の GraphCypherQAChain クラスにおける脆弱性により、プロンプトインジェクションを通じた SQL インジェクションが可能になります。この脆弱性は、不正なデータ操作、データの外部流出、全データ削除によるサービス拒否（DoS）、マルチテナントセキュリティ環境における侵害、およびデータ整合性の問題を引き起こす可能性があります。攻撃者は、適切な認可なしにノードやリレーションシップを作成、更新、削除したり、機密データを抽出したり、サービスを妨害したり、異なるテナント間でデータにアクセスしたり、データベースの整合性を損なう可能性があります。

• CVE-2024-8309PoC

  LangchainのGraphCypherQAChainにおけるプロンプトインジェクションがNeo4jデータベースのSQLインジェクションにつながることを実証する概念実証です。教育テスト用にFastAPIバックエンドとStreamlitフロントエンドを備えたDockerベースのセットアップを含みます。