Yuxi — это интеллектуальная база знаний на основе крупных моделей и платформа разработки агентов графов знаний. До версии 0.6.2 механизм аутентификации проекта содержал ошибку. В уязвимых версиях система недостаточно проверяет токен идентификации в заголовке авторизации — выполняет только проверку действительности.
Это позволяет использовать токен администратора, созданный в другом экземпляре развертывания или локальной среде тестирования, для доступа к внутренним интерфейсам управления другого затронутого экземпляра. Злоумышленник, получивший или создавший приемлемый токен авторизации администратора, может обойти обычную аутентификацию при входе и получить права администратора. Эта уязвимость может позволить злоумышленнику получить доступ к конфигурациям системы, вызвать API-интерфейсы управления серверной частью, создать учетные записи администратора и в конечном итоге получить контроль над серверной частью системы.
Эта проблема исправлена в версии 0.6.2. Перед обновлением пользователям рекомендуется принять следующие временные меры: установить для переменной среды `JWT_SECRET_KEY` значение, отличное от значения по умолчанию, и настроить уникальный, достаточно надежный ключ JWT/аутентификации для каждого экземпляра развертывания; и/или избегать предоставления интерфейсов управления серверной частью непосредственно общедоступной сети.
Показать оригинальное описание (EN)
Yuxi is a large-model-based intelligent knowledge base and knowledge graph agent development platform. Prior to version 0.6.2, the project's authentication mechanism contains a flaw. In affected versions, the system does not sufficiently validate the identity token in the Authorization header — only performing a validity check. This allows an administrator token generated in another deployment instance or local testing environment to be used to access the backend management interfaces of a different affected instance. An attacker who obtains or constructs an acceptable administrator Authorization token may bypass normal login authentication and gain administrator privileges. This vulnerability could allow an attacker to access system configurations, invoke backend management APIs, create administrator accounts, and ultimately take over the system backend. This issue has been fixed in version 0.6.2. Before upgrading, users are advised to implement the following temporary measures: Set the environment variable `JWT_SECRET_KEY` to a non-default value, and configure a unique, sufficiently strong JWT/authentication key for each deployment instance; and/or avoid exposing backend management interfaces directly to the public network.
Характеристики атаки
Последствия
Строка CVSS v3.1