LangChain < 0.1.5 SSRF

high Nessus 插件 ID 213560

语言：

简介

远程主机受到漏洞影响。

描述

远程主机上安装的 LangChain 版本低于 0.1.5。因此会受到 langchain 的 Web Research Retriever 组件中存在的服务器端请求伪造 (SSRF) 漏洞的影响。出现此漏洞的原因是 Web Research Retriever 未将请求限制为远程互联网地址因而得以访问本地地址。此缺陷可让攻击者执行端口扫描、访问本地服务以及在某些情况下从云环境读取实例元数据。此漏洞特别令人关注因为它可能被滥用于滥用 Web Explorer 服务器作为代理对第三方进行 Web 攻击并与本地网络中的服务器交互包括读取其响应数据。这可能导致任意代码执行具体取决于本地服务的性质。由于无法处理 POST 请求，此漏洞仅限于 GET 请求但由于凭据可能被盗以及与内部 API 之间发生状态更改的交互其对机密性、完整性和可用性的影响很大。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。