🇰🇷 한글 설명
text-generation-webui의 캐릭터 이미지 업로드 기능에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. 공격자가 심볼릭 링크가 포함된 텍스트 파일을 업로드하면, 서버가 이를 따라가 대상 파일의 내용을 웹 인터페이스를 통해 노출할 수 있습니다. 이로 인해 시스템 설정이나 자격 증명과 같은 민감한 정보가 유출될 위험이 있습니다.
💡 쉬운 설명
이미지를 올리는 기능에 속임수를 써서 서버 안에 있는 중요한 비밀 파일을 몰래 읽어낼 수 있는 문제입니다. 해커가 가짜 연결 고리를 만들어 서버의 핵심 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
text-generation-webui is an open-source web interface for running Large Language Models. In versions through 3.13, a Local File Inclusion vulnerability exists in the character picture upload feature. An attacker can upload a text file containing a symbolic link to an arbitrary file path. When the application processes the upload, it follows the symbolic link and serves the contents of the targeted file through the web interface. This allows an unauthenticated attacker to read sensitive files on the server, potentially exposing system configurations, credentials, and other confidential information. This vulnerability is fixed in 3.14. No known workarounds exist.
📍 영향받는 시스템
text-generation-webui 버전 3.13 이하
⚔️ 공격 벡터
심볼릭 링크가 포함된 텍스트 파일을 캐릭터 이미지 업로드 기능을 통해 업로드
🛡️ 대응 방법
text-generation-webui를 최신 버전인 3.14 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.14 미만이면 취약한 상태이며, 3.14 이상이면 안전합니다.
python -c "import os; import pkg_resources; print(pkg_resources.get_distribution('text-generation-webui').version)" 2>/dev/null || echo 'Not installed'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server