🇰🇷 한글 설명
Mem0 0.2.8 이하 버전의 셀프 호스팅 서버에는 POST /configure 엔드포인트에서 역할 기반 권한 검증이 누락된 취약점이 존재합니다. 공격자는 유효한 API 키만 있으면 전역 LLM 및 임베더 설정을 임의의 서버로 변경할 수 있으며, 이 설정은 PostgreSQL에 영구 저장되어 서버 재시작 후에도 모든 사용자에게 영향을 미칩니다.
💡 쉬운 설명
이 취약점은 로그인한 사용자라면 누구나 시스템의 핵심 통신 설정을 마음대로 바꿀 수 있게 합니다. 공격자가 이를 악용하면 모든 데이터가 해커의 서버로 유출될 수 있습니다.
🇺🇸 원문 (English)
Mem0 versions through 0.2.8, fixed in commit ae7f406, contain a missing authorization vulnerability in the self-hosted server component where the POST /configure endpoint modifies global LLM provider and embedder configuration but only verifies authentication via JWT or X-API-Key without validating the caller's role. Any authenticated user holding a distributed API key can redirect all LLM and embedder traffic to an attacker-controlled server, with the malicious configuration persisted to PostgreSQL and surviving server restarts to affect all users and API keys on the instance.
📍 영향받는 시스템
Mem0 versions through 0.2.8 (self-hosted server)
⚔️ 공격 벡터
인증된 사용자가 POST /configure 엔드포인트를 통해 악성 LLM/임베더 설정을 전역으로 적용
🛡️ 대응 방법
Mem0를 commit ae7f406 이상으로 업데이트하여 역할 기반 접근 제어(RBAC)를 적용하십시오.
🔧 검증 코드
출력된 버전이 0.2.8 이하이거나 알 수 없는 경우 취약한 것으로 판단하며, ae7f406 이상으로 업그레이드해야 합니다.
mem0 --version 2>/dev/null || echo "version unknown"