🇰🇷 한글 설명
LlamaFarm 0.0.34 이하 버전은 인증되지 않은 FastAPI 서버가 0.0.0.0의 14345 포트에 바인딩되는 보안 설정 오류를 가지고 있습니다. 네트워크 인접 공격자는 이를 통해 프로젝트 및 데이터셋 관리 API를 호출하여 저장된 API 키를 탈취하거나 프로젝트를 수정 및 삭제할 수 있습니다.
💡 쉬운 설명
프로그램의 기본 설정이 보안에 취약하여, 같은 네트워크에 있는 사람이 허락 없이 관리자 권한을 행사할 수 있는 상태입니다. 공격자가 사용자의 중요한 API 키를 훔치거나 저장된 데이터를 마음대로 지울 수 있어 위험합니다.
🇺🇸 원문 (English)
LlamaFarm through 0.0.34 contains an insecure default configuration that binds its unauthenticated FastAPI server to 0.0.0.0 on port 14345, while the lf CLI silently discards HOST overrides. Network-adjacent attackers can call the project and dataset management API to read stored provider API keys, modify projects, trigger ingestion, and irreversibly delete projects.
📍 영향받는 시스템
LlamaFarm 0.0.34 이하 모든 버전
⚔️ 공격 벡터
동일 네트워크 내에서 14345 포트로 연결하여 인증 없이 API 호출
🛡️ 대응 방법
LlamaFarm을 최신 버전으로 업데이트하거나 서버 바인딩 주소를 127.0.0.1로 제한하십시오.
🔧 검증 코드
출력된 Version이 0.0.34 이하인지 확인하여 취약 여부를 판단합니다.
pip show LlamaFarm | grep -E 'Name:|Version'