Langchain-Chatchat: Nicht authentifizierte Remote Code Execution über /tools/call

Zusammenfassung

Langchain-Chatchat bis Version 0.3.1.3 stellt einen API-Endpunkt POST /tools/call ohne Authentifizierung bereit. Der Endpunkt ruft jedes registrierte Tool über seinen Namen auf, einschliesslich des immer registrierten Shell-Tools, und ignoriert dabei das Tool-spezifische Freigabeflag. Ein entfernter Angreifer, der den API-Port erreichen kann, kann mit einer einzigen HTTP-Anfrage beliebige Betriebssystembefehle als Serverbenutzer ausführen, im ausgelieferten Docker-Image als root, und so auf die Datenbank, die Dateien der Wissensbasis und die Schlüssel für Modell-APIs zugreifen.

Betroffen

• Langchain-Chatchat 0.3.1.3 und alle früheren Versionen (0 bis <= 0.3.1.3)
• Ausgeliefertes Docker-Image chatimage/chatchat:0.3.1.3-93e2c87-20240829

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung wurde keine korrigierte Version veröffentlicht.

Umgehung

• Authentifizierung vor der API verlangen, mindestens für /tools/call
• API hinter einem authentifizierenden Reverse Proxy betreiben und /tools und /tools/call sperren, sofern nicht benötigt
• Netzwerkzugriff mit Firewall-Regeln und einem segmentierten VLAN einschränken
• Container nicht als root betreiben; im Container einen nicht privilegierten Benutzer verwenden
• Host auf unerwartete Prozessstarts durch den Anwendungsbenutzer überwachen

Ausnutzung

• Öffentlich dokumentiert; die Issues #5483 und #5515 im Upstream-Repository beschreiben den nicht authentifizierten Shell-Pfad
• Öffentlicher Exploit-Code: keiner gefunden
• Bekannte Ausnutzung in freier Wildbahn: keine gefunden
• CISA SSVC: Ausnutzung poc, automatisierbar ja, technische Auswirkung total

Unsere Empfehlung

• Alle Langchain-Chatchat-Instanzen finden, einschliesslich Entwickler- und Testsysteme, und deren Versionen erfassen
• Exponierte Instanzen sofort vom Internet trennen oder hinter eine Authentifizierung stellen
• Zugriff auf /tools und /tools/call am Proxy oder an der Firewall einschränken
• Logs auf unerwartete Anfragen an /tools/call und unerwartete Prozesse im Container prüfen
• Sicherheitsadvisory des Herstellers auf GitHub für einen Fix verfolgen, danach aktualisieren und neu testen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Lasso vulnerability database entry www.lasso.security
• Vulnerable code in tool_routes.py github.com
• Upstream issue #5483 github.com
• Upstream issue #5515 github.com
• The Hacker Wire www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:10.