Eine kritische Schwachstelle wurde in Qdrant bis 1.6.1/1.7.4/1.8.2 gefunden. Es geht hierbei um eine nicht näher spezifizierte Funktion der Datei lib/collection/src/collection/snapshots.rs der Komponente Full Snapshot REST API. Dank Manipulation mit unbekannten Daten kann eine Directory Traversal-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-22. Die Schwachstelle wurde am 29.03.2024 als 3856/3867 herausgegeben. Das Advisory findet sich auf github.com. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2024-3078 gehandelt. Der Angriff kann im lokalen Netzwerk angegangen werden. Es sind technische Details verfügbar. Es ist soweit kein Exploit verfügbar. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1006 bezeichnet. Er wird als nicht definiert gehandelt. Während seiner Zeit als 0-Day erzielte er wohl etwa $0-$5k auf dem Schwarzmarkt. Ein Aktualisieren auf die Version 1.8.3 vermag dieses Problem zu lösen. Eine neue Version kann von github.com bezogen werden. Der Patch wird als 3ab5172e9c8f14fa1f7b24e7147eac74e2412b62 bezeichnet. Dieser kann von github.com heruntergeladen werden. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle.