CVE-2023-37275
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 — wyżej niż 30% wszystkich znanych CVE
Streszczenie
Auto-GPT to eksperymentalna aplikacja open-source, która przed wersją 0.4.3 pozwalała złośliwym zasobom zewnętrznym na wywoływanie mylących komunikatów w konsoli poprzez wykorzystanie sekwencji ucieczki ANSI. Problem został naprawiony w wersji 0.4.3.
Ocena ryzyka
Złośliwe strony mogły wprowadzać użytkowników w błąd, co mogło prowadzić do nieprawidłowego wykonywania poleceń. To stwarzało ryzyko nieautoryzowanego dostępu lub niezamierzonych działań w systemie.
Rekomendacja
Zaleca się aktualizację Auto-GPT do wersji 0.4.3 lub nowszej, aby zabezpieczyć się przed tym rodzajem ataku.
Oryginalny opis (angielski, źródło NVD)
Auto-GPT is an experimental open-source application showcasing the capabilities of the GPT-4 language model. The Auto-GPT command line UI makes heavy use of color-coded print statements to signify different types of system messages to the user, including messages that are crucial for the user to review and control which commands should be executed. Before v0.4.3, it was possible for a malicious external resource (such as a website browsed by Auto-GPT) to cause misleading messages to be printed to the console by getting the LLM to regurgitate JSON encoded ANSI escape sequences (`\u001b[`). These escape sequences were JSON decoded and printed to the console as part of the model's "thinking process". The issue has been patched in release version 0.4.3.