Podatności LangBot

LangBot do wersji 4.11.0 zawiera lukę braku weryfikacji autentyczności, która pozwala nieuwierzytelnionym atakującym wstrzykiwać sfałszowane zdarzenia Lark/Feishu poprzez pominięcie sprawdzania podpisu. Atakujący znający UUID bota może wysłać spreparowane zdarzenia im.message.receive_v1 lub card.action.trigger, aby sterować potokiem LLM, narzędziami i zatwierdzeniami w imieniu innych użytkowników.

LangBot's plugin runtime (pakiet pip langbot_plugin) do wersji 0.4.17 uruchamia debug WebSocket server na 0.0.0.0:5401 z uwierzytelnianiem opartym na kluczu, który domyślnie jest pusty i nigdy nie jest ustawiany. Zdalny atakujący może zarejestrować dowolny 'debug plugin' bez poświadczeń, otrzymywać pełny kontekst wiadomości IM i wstrzykiwać fałszywe odpowiedzi, wysyłać wiadomości jako boty, czytać bazy wiedzy i rejestrować złośliwe narzędzia.

LangBot przed wersją 4.10.11 generuje klucze odzyskiwania hasła zaledwie z 24 bitami entropii i nie stosuje ograniczeń szybkości na nieuwierzytelnionym endpoincie resetowania hasła. Zdalny atakujący znający adres e-mail administratora może wyczerpać przestrzeń kluczy poprzez równoległe żądania, zresetować hasło administratora i uzyskać dostęp do konta.

LangBot w wersji 4.10.7 i wcześniejszych ma podatność, która pozwala każdemu uwierzytelnionemu użytkownikowi na dodawanie lub zmianę konfiguracji serwera MCP STDIO bez odpowiedniej granicy autoryzacji. Atakujący może skonfigurować polecenia i argumenty, które są wykonywane jako subproces na serwerze LangBot, umożliwiając wykonanie dowolnych poleceń z uprawnieniami usługi LangBot.

W LangBot w wersjach od 4.1.0 do 4.3.5 (wyłącznie) interfejs /api/v1/files/documents pozwala uwierzytelnionym atakującym na dowolne przesyłanie plików. Brak ścisłego ograniczenia katalogu docelowego umożliwia zapis niebezpiecznych plików w katalogach systemowych.