LlamaIndex SimpleDirectoryReader Uncontrolled Resource Consumption (CVE-2025-6208) Analysis and Fix

重要な脆弱性情報 脆弱性概要 CVE: CVE-2025-6208 タイプ: Uncontrolled Resource Consumption (CWE-400: 制御されていないリソース消費) 深刻度: Medium (5.3) 影響バージョン: 0.12.23 状態: 修正済み 発見者: Mr. Niko (@0xmnnko) 修正者: Clelia (Astra) Bertelli (@astrabert) 脆弱性の詳細 主な原因: コンポーネントは、多数のファイルを含むディレクトリを処理する際、 制限を正しく適用できず、制御されていないメモリ使用と不要なCPU使用を引き起こしました。 対象コード箇所: - ファイル: - クラス: - メソッド: 根本原因: 技術的な影響: - 非効率な処理: 100%のファイル処理 → 99.9%が破棄される - 早期終了不可能: 制限に達した後でも処理を続ける - メモリ保持: 関数が終了するまでデータセット全体がメモリ内に保持される 実証コード (PoC) 影響分析 制御されていないメモリ増大: 関数は制限を適用する前にすべてのファイルをメモリにロードするため、リソースが限られたシステムではクラッシュが発生する可能性があります。 処理オーバーヘッドとパフォーマンス低下: 全ファイルリストのソートにより、不要なCPUオーバーヘッドが発生します。 DoS攻撃の可用性: 攻撃者は意図的に多数のファイルを含むディレクトリを提供し、システムリソースを枯渎させてサービスを利用不可能にできる可能性があります。 推奨される修正策 制限を適用する前にファイルの読み込み処理を早期に終了し、全ファイルリストに対する不要なソートを回避します。

目標達成 すべての支援者に感謝 — 100%達成しました！

LlamaIndex SimpleDirectoryReader Uncontrolled Resource Consumption (CVE-2025-6208) Analysis and Fix

目標達成すべての支援者に感謝 — 100%達成しました！