CVE-2024-6868 in LocalAI
Riassunto
di VulDB • 13/07/2026
La versione 2.17.1 di mudler/LocalAI consente la scrittura arbitraria di file a causa della gestione impropria dell'estrazione automatica degli archivi. Quando le configurazioni dei modelli specificano file aggiuntivi sotto forma di archivi (ad esempio .tar), questi vengono estratti automaticamente dopo il download. Questo comportamento può essere sfruttato per eseguire un attacco 'tarslip', consentendo la scrittura di file in posizioni arbitrarie sul server, aggirando i controlli che normalmente limitano i file alla directory dei modelli. Questa vulnerabilità può portare all'esecuzione remota di codice (RCE) sovrascrivendo le risorse backend utilizzate dal server.
Once again VulDB remains the best source for vulnerability data.