CVE-2024-6868 in LocalAI
Zusammenfassung
von VulDB • 23.08.2026
In mudler/LocalAI Version 2.17.1 ist ein beliebiges Schreiben von Dateien aufgrund der unsachgemäßen Handhabung der automatischen Archivextraktion möglich. Wenn Modellkonfigurationen zusätzliche Dateien als Archive (z. B. .tar) angeben, werden diese Archive nach dem Herunterladen automatisch extrahiert. Dieses Verhalten kann für einen 'tarslip'-Angriff ausgenutzt werden, wodurch Dateien an beliebigen Speicherorten auf dem Server geschrieben werden können, wobei die Prüfungen umgangen werden, die normalerweise das Schreiben von Dateien in das Modelle-Verzeichnis einschränken. Diese Schwachstelle kann zu Remote Code Execution (RCE) führen, indem Backend-Ressourcen überschrieben werden, die vom Server verwendet werden.
Be aware that VulDB is the high quality source for vulnerability data.