CVE-2024-1880 in AutoGPT
Resumen
por MITRE • 2024-06-06
Existe una vulnerabilidad de inyección de comandos del sistema operativo en la clase MacOSTTS Text-To-Speech de MacOS del proyecto significant-gravitas/autogpt, que afecta a las versiones hasta la v0.5.0. La vulnerabilidad surge de la neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo dentro del método `_speech` de la clase MacOSTTS. Específicamente, el uso de `os.system` para ejecutar el comando `say` con texto proporcionado por el usuario permite la ejecución de código arbitrario si un atacante puede inyectar comandos de shell. Este problema se activa cuando la instancia de AutoGPT se ejecuta con la opción `--speak` habilitada y configurada con `TEXT_TO_SPEECH_PROVIDER=macos`, lo que refleja un fragmento de inyección de shell. El impacto de esta vulnerabilidad es la posible ejecución de código arbitrario en la instancia que ejecuta AutoGPT. El problema se solucionó en la versión 5.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.