Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

CVE-2024-27564

plus petit que 1 minute de lecture

Mis à jour :

Exploitation d’une faille de sécurité dans un outil d’interface ChatGPT

Une vulnérabilité de type Server-Side Request Forgery (SSRF) a été identifiée dans le script pictureproxy.php d’un outil open-source interactif avec le service d’IA générative ChatGPT (distinct de celui d’OpenAI).

Points Clés :

  • La faille permet à des attaquants de forcer l’application à effectuer des requêtes arbitraires vers des destinations choisies.
  • Aucune authentification n’est nécessaire pour exploiter cette vulnérabilité.
  • Des attaques actives ont été observées, ciblant diverses organisations, y compris des institutions financières et des entités gouvernementales.

Vulnérabilité :

  • CVE : CVE-2024-27564
  • Type : Server-Side Request Forgery (SSRF)
  • Cause : Validation d’entrée insuffisante du paramètre url dans le script pictureproxy.php.

Impact Potentiel :

  • Accès à des ressources du réseau interne.
  • Contournement des contrôles réseau.
  • Réalisation de requêtes non intentionnelles par l’application.

Recommandations :

  • Mettre à jour le code source affecté, notamment en adressant la faille identifiée dans le commit f9f4bbc du script pictureproxy.php.
  • Renforcer la validation des entrées, en particulier pour les paramètres liés aux URLs.

Source

Vous pourriez aimer