CVE-2026-1117: lollms Socket.IO Lack of Auth Leads to DoS and State Corruption

重要情報： CVE: CVE-2026-1117 公開日: 2025-06-22 脆弱性の種類: 不適切なアクセス制御 (CWE-284) 深刻度: 高 (8.2) 脆弱性コンポーネント: ファイル内の サーバー 根本原因: - 機密性の高い操作がSocket.IOイベントを通じて外部に公開されており、認証および認可チェックが欠如している - アプリケーションは状態管理に安全でないグローバルフラグに依存しており、マルチクライアント環境において問題を引き起こす 脆弱性詳細: - 欠陥1: 認証および認可の欠如——イベントハンドラーのいずれもクライアントの身元や権限を検証しない - 欠陥2: グローバル共有状態の使用——アプリケーションは生成プロセスの状態管理にグローバルフラグを使用しており、マルチクライアント環境では1つのクライアントの行動がすべての他のクライアントに直接影響を与える可能性がある 攻撃経路分析: - シナリオA: サービス拒否 (リソースの占有) - 攻撃者は パラメータが大きな値の イベントを送信し、サーバーが生成タスクの実行で長時間occupiedにする。これにより、他のユーザーの要求が拒否される - シナリオB: セッションの妨害と状態の破損 - 攻撃者は任意のユーザーのリソース集約型タスク実行中に別の イベントを送信し、サーバーの状態が誤って上書きされる原因となる。これによりリソース競合やサーバーのクラッシュを引き起こす 緩和策の推奨: - 認証の実装：クライアントは有効な認証トークンを提供する必要があり、サーバーはこのトークンを検証し、認証済みユーザーの身元に関連付けるべきである - クライアント状態の分離：グローバルフラグを使用するべきではなく、 状態は各クライアントオブジェクト内で維持すべきである - リソース制限の強制：ユーザー提供のパラメータに対してサニタイズと検証を実行し、リソース枯渇によるDoS攻撃を回避するための合理的なサーバー定義の最大値を定義する - レート制限の実装： などのリソース集約型イベントに対してレートリミッターを実装し、一定期間内の単一クライアントの要求数を制限する 影響: - 本脆弱性の組み合わせは、サービスの可用性および整合性に高い影響を及ぼす - 機密性への潜在的な影響： イベントがセッション分離で保護されておらず、バックエンドの実装も安全でない場合、IDOR（インダイレクトオブジェクト参照）脆弱性の原因となる可能性がある 修正措置: - 脆弱なコードを削除し、生成ロジックを強制された認証を備えたFastAPIルーターに移行する - グローバル状態を排除し、各ユーザーの生成およびキャンセル制御がセッション内で管理されることを確実にする

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-1117: lollms Socket.IO Lack of Auth Leads to DoS and State Corruption

目標達成すべての支援者に感謝 — 100%達成しました！