Podatności Xinference

Xinference to API wnioskowania do uruchamiania modeli open-source, mowy i multimodalnych. W wersji 2.5.0 i wcześniejszych, Xinference przekazuje wynik wywołania narzędzia Llama3, na który wpływ ma atakujący, do funkcji eval() w xinference/model/llm/tool_parsers/llama3_tool_parser.py oraz xinference/model/llm/utils.py. Żądania do /v1/chat/completions z polem tools przepływają przez xinference/api/restful_api.py, xinference/model/llm/transformers/core.py, handle_chat_result_non_streaming() i _post_process_completion() przed extract_tool_calls() lub _eval_llama3_chat_arguments() oceniają wygenerowane przez model wyrażenie Pythona. Nieuwierzytelniony zdalny atakujący może wpłynąć na ten wynik poprzez spreparowany prompt i wykonać polecenia w kontekście procesu serwera Xinference. Problem naprawiono w wersji 2.7.0.

Xinference do wersji 4.0.1 zawiera podatność path traversal w systemie Windows, która pozwala nieuwierzytelnionym atakującym na zapis i usunięcie dowolnych plików .json poprzez sekwencje ukośników wstecznych w polu model_name. Atakujący może zarejestrować trwały model niestandardowy przez POST /v1/model_registrations/{model_type} z nazwami takimi jak ..\..\evil, aby nadpisać pliki konfiguracyjne lub dane zapisywalne przez proces Xinference.

Xinference (commit 4a94832, v3.x) zawiera nieuwierzytelnioną podatność na odczyt plików o dowolnej ścieżce w punkcie końcowym POST /v1/models/llm/auto-register, który akceptuje parametr model_path dostarczony przez wywołującego bez uwierzytelniania lub ograniczenia ścieżki. Punkt końcowy odczytuje i analizuje pliki config.json, tokenizer_config.json i chat_template.jinja pod podaną ścieżką i odzwierciedla ich zawartość z powrotem do wywołującego, co pozwala nieuwierzytelnionemu atakującemu na przeszukiwanie systemu plików serwera i wyodrębnianie zawartości plików o tych nazwach w dowolnym katalogu.

Xinference domyślnie włącza zdalne wykonywanie kodu podczas ładowania modeli Hugging Face, a przed wersją 2.12.0 nie ma możliwości wyłączenia tej funkcji. Atakujący z dostępem do ładowania modeli może wykonać dowolny kod.