„`html
Zusammenfassung
In Crawl4AI vor Version 0.8.7 wurde eine kritische Schwachstelle identifiziert, die eine willkürliche Dateischreiboperation in den REST-API-Endpunkten ermöglicht. Die Vulnerabilität betrifft die Docker-API-Server-Implementierung und wird mit CVSS 9.1 als kritisch eingestuft. Angreifer können diese Lücke ausnutzen, um beliebige Dateien auf dem Zielsystem zu schreiben und dadurch Denial-of-Service-Zustände oder Systemkompromittierungen herbeizuführen.
Betroffene Systeme
Alle Installationen von Crawl4AI in Versionen vor 0.8.7 sind anfällig. Dies betrifft insbesondere Docker-basierte Deployments, bei denen die API-Server exponiert sind. Die Schwachstelle ist unabhängig vom Betriebssystem und betrifft Linux-, Windows- und macOS-Systeme gleichermaßen.
Technische Details
Die verwundbare Komponente liegt in den API-Endpunkten /screenshot und /pdf. Der Parameter output_path validiert Benutzereingaben unzureichend, was Path-Traversal-Angriffe ermöglicht. Ein Angreifer kann durch die Verwendung von absoluten Pfaden oder Traversal-Sequenzen wie ../../../ die Ausführungsumgebung des Prozesses verlassen und in beliebigen Verzeichnissen schreiben.
Beispiel: Ein Angreifer könnte /screenshot?output_path=/etc/passwd.backup oder /pdf?output_path=../../sensitive_config.pdf verwenden. Die Dateien werden mit den Berechtigungen des Anwendungsbenutzers geschrieben, was zu Konfigurationsüberschreibungen oder kritischen Systemdateien führen kann.
Empfohlene Massnahmen
- Sofortige Aktualisierung auf Crawl4AI 0.8.7 oder höher durchführen
- API-Zugriffe durch Firewalls oder WAF-Regeln beschränken
- Eingabevalidierung lokal implementieren (Whitelist erlaubter Pfade)
- Docker-Container mit minimal erforderlichen Berechtigungen ausfĂĽhren
- Dateisystem-Überwachung aktivieren zur Erkennung unautorisierter Schreibvorgänge
Bewertung
Mit einem CVSS-Score von 9.1 handelt es sich um eine kritische Vulnerabilität mit hohem Ausnutzungspotential. Der Angriffsvektor ist Netzwerk-basiert, erfordert keine Authentifizierung und kann Remote ausgelöst werden. Ein Patch steht derzeit nicht zur Verfügung; ein Update auf eine neuere Version ist erforderlich.
„`