🇰🇷 한글 설명
Open WebUI 0.9.6부터 0.11.0 버전 사이에서 지식 검색 기능의 정규 표현식 처리 과정에 취약점이 발견되었습니다. 공격자가 특수하게 설계된 정규 표현식 패턴을 입력하면 CPU 자원을 과도하게 점유하여 서비스 가용성을 떨어뜨리는 ReDoS(정규 표현식 서비스 거부) 공격이 가능합니다.
💡 쉬운 설명
채팅창에 복잡한 특수 문자를 섞은 검색어를 입력하면 컴퓨터가 이를 계산하느라 과부하가 걸려 서비스가 멈출 수 있습니다. 이로 인해 다른 사용자들도 해당 서비스를 이용하지 못하게 될 수 있습니다.
🇺🇸 원문 (English)
Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform. From 0.9.6 until 0.11.0, the built-in knowledge search path in backend/open_webui/tools/knowledge_fs.py and backend/open_webui/tools/builtin.py let a chat participant choose a pattern used to grep knowledge files. Patterns containing regex metacharacters were compiled with Python's backtracking re engine and run against every line of every reachable file with no time limit, so a crafted pattern such as (x|x)*y and one matching uploaded file line can pin one CPU core and block the event loop. This causes availability impact for every other user of the affected worker. This issue is fixed in 0.11.0.
📍 영향받는 시스템
Open WebUI versions 0.9.6 to 0.11.0
⚔️ 공격 벡터
지식 검색 기능에 CPU 부하를 유발하는 정규 표현식 패턴(ReDoS) 입력
🛡️ 대응 방법
Open WebUI를 취약점이 해결된 0.11.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.11.0 미만(0.9.6 ~ 0.11.0 사이)이면 취약한 상태입니다.
pip show open-webui | grep Version