무슨 일이 있었나
Langchain-Chatchat 0.3.1.3 이하 버전은 인증 없이 등록된 도구를 이름으로 호출하는 POST /tools/call API 엔드포인트를 노출하며, 항상 등록된 셸 도구를 호출할 수 있게 합니다. 원격 공격자는 셸 도구를 지정하는 단일 요청을 보내 서버 사용자(제공 Docker 이미지에서는 root)로 임의 OS 명령을 실행할 수 있습니다.
왜 중요한가
이는 공개 채팅/RAG 백엔드를 사전 인증 루트 셸로 바꿉니다. ChatChat은 널리 배포된 중국 RAG/챗봇 프레임워크로 종종 인터넷에 노출되므로, 공격자는 호스트로 피벗하여 서비스가 보유한 LLM/데이터베이스 자격 증명을 읽고, 지식 베이스나 모델 파이프라인을 조작할 수 있습니다.
공격 경로
항상 등록된 셸 도구를 지정하는 인증 없는 POST /tools/call
영향받는 시스템
Langchain-Chatchat <= 0.3.1.3 (pypi langchain-chatchat)
완화 방안
수정된 릴리스로 업그레이드하고 /tools/call에 인증/허용 목록을 추가하고, 서버 측에서 등록되는 도구를 제한하십시오.