【CVE-2024-6673】parisneo/lollms-webuiにおけるCSRF脆弱性の発見、ComfyUIの不正インストールのリスクが浮上

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
parisneo/lollms-webuiにおけるCSRF脆弱性の報告
CVE-2024-6673の詳細情報まとめ
Cross-Site Request Forgeryについて
parisneo/lollms-webuiのCSRF脆弱性に関する考察
参考サイト

記事の要約

parisneo/lollms-webuiにCSRF脆弱性が発見される
ComfyUIの不正インストールが可能な状態に
デバイス容量不足によるクラッシュのリスクあり

parisneo/lollms-webuiにおけるCSRF脆弱性の報告

parisneo/lollms-webuiのバージョンv9.9以降において、`lollms_comfyui.py`ファイル内の`install_comfyui`エンドポイントに重大なCSRF脆弱性が発見された。この脆弱性は【CVE-2024-6673】として識別されており、攻撃者が被害者のデバイスに意図しないComfyUIのインストールを実行できる状態となっている。^[1]

脆弱性の深刻度はCVSS v3.0で4.4（MEDIUM）と評価され、攻撃の実行には物理的なアクセスと利用者の操作が必要となるものの、クライアントIDを要求しないGETメソッドの使用が問題視されている。特にデバイス容量が不足している場合、システムのクラッシュを引き起こす可能性が指摘されている。

この脆弱性に対する修正はすでに実施されており、GitHubリポジトリ上でコミットID：c1bb1ad19752aa7541675b398495eaf98fd589f1として公開されている。SSVCの評価によると、攻撃の自動化は不可能であり、技術的な影響は部分的なものとされているが、早急な対応が推奨される。

CVE-2024-6673の詳細情報まとめ

項目	詳細
CVE ID	CVE-2024-6673
影響を受けるバージョン	v9.9以降の全バージョン
脆弱性の種類	Cross-Site Request Forgery (CSRF)
CVSS Score	4.4 (MEDIUM)
影響範囲	ComfyUIの不正インストール、システムクラッシュ
公開日	2024年10月29日

Cross-Site Request Forgeryについて

Cross-Site Request Forgery（CSRF）とは、Webアプリケーションに対する攻撃手法の一つで、ユーザーが意図しない操作を強制的に実行させる脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

正規ユーザーの認証情報を悪用した不正アクセス
ユーザーの意図しない操作を強制的に実行
HTTPリクエストの偽装による攻撃が可能

parisneo/lollms-webuiの事例では、`install_comfyui`エンドポイントがGETメソッドを使用し、クライアントIDを要求しない実装となっていたことが問題となった。この実装により、攻撃者は被害者のブラウザを通じてComfyUIのインストールを強制的に実行することが可能となり、デバイスの容量不足によるシステムクラッシュのリスクが発生している。

parisneo/lollms-webuiのCSRF脆弱性に関する考察

parisneo/lollms-webuiで発見されたCSRF脆弱性は、ComfyUIのインストールプロセスにおける認証の不備を明らかにした重要な発見である。特にGETメソッドの使用とクライアントID要求の欠如は、Webアプリケーションのセキュリティ設計における基本的な考慮事項の見直しを促す契機となるだろう。

今後の課題として、インストールプロセスにおける適切な認証メカニズムの実装と、デバイスリソースの確認プロセスの強化が挙げられる。特にデバイス容量のチェックやユーザーの明示的な承認を要求する仕組みの導入は、セキュリティと安定性の両面で重要な改善点となるはずだ。

また、Webアプリケーションのセキュリティ強化に向けて、CSRFトークンの導入やPOSTメソッドへの移行なども検討に値する施策となる。特にインストールや設定変更などの重要な操作に対しては、多層的な防御策を講じることでユーザーの安全性を確保することが望ましい。