Sécurité et règlesCorrectif 4.12.1 publié

LocalAI 4.12.1 revalide chaque redirection avant de charger un média distant

Source publiée le LocalAI2 min de lecture

L’essentiel de l’annonce

LocalAI durcit le traitement des URL d’images, d’audio et de vidéo fournies par les utilisateurs. La destination est vérifiée à chaque redirection avant la connexion.

Date de publication de la source
Catégorie
Sécurité et règles
Périmètre et accès
Correctif de sécurité 4.12.1 du 23 octobre.
Sujet du contenu
Validation des URL
Entreprises / organismes
LocalAI

Redirection contrôlée

Le serveur revalide chaque étape d’une chaîne de redirections et se connecte à l’adresse effectivement contrôlée. Les plages 100.64.0.0/10 et 0.0.0.0/8 sont désormais traitées comme non publiques. Le correctif réduit les chemins par lesquels une URL externe pourrait conduire le serveur vers une ressource interne.

Valider chaque saut
1

URL média

Le serveur reçoit un lien fourni par l’utilisateur.

2

Destination

Chaque saut est vérifié avant connexion.

3

Adresse privée

Une destination non publique est refusée.

URL média

Le serveur reçoit un lien fourni par l’utilisateur.

Destination

Chaque saut est vérifié avant connexion.

Adresse privée

Une destination non publique est refusée.

Illustration simplifiée. Les dessins ne montrent pas de résultats mesurés.

Points techniques et opérationnels

  • Chaque redirection est revalidée.
  • Certaines plages deviennent explicitement non publiques.

Adresse interne refusée

Exemples possibles. L’annonce ne démontre pas de gains pour ces usages.

Exemple pédagogique

Exemple fictif

Une image distante redirige vers une autre adresse avant son chargement.

Deux questions pour évaluer l’intérêt

  • Inventorier les points qui chargent des URL.
  • Mettre à jour sans supposer une protection universelle.

Qui peut l’utiliser, avec quelles limites ?

Correctif 4.12.1 publié

La release ne publie ni identifiant CVE ni mesure indépendante de l’exposition. Elle ne prouve pas que toutes les formes de requêtes réseau sont couvertes. Ce correctif de sécurité n’ajoute aucun nouveau modèle.

Conditions d’accès : Version disponible pour le logiciel auto-hébergé. Mise à jour à planifier selon le déploiement. Tarif non précisé.

Correctif de sécurité

Interprétation éditoriale à partir de l’annonce.

Les autres accès réseau demandent leurs propres contrôles.

Les mots utiles pour comprendre

Exécution d’un modèle

Exécuter un modèle consiste à lui envoyer une demande et à utiliser du calcul pour produire son résultat. Le délai dépend du modèle, du matériel et des autres tâches en cours. Une mise à jour du logiciel peut modifier ce fonctionnement sans changer les connaissances du modèle.

Comprendre cette technologie

Sources et vérifications

LocalAI - LocalAI v4.12.1

Lire la source officielle

Source vérifiée le . Synthèse originale. Les résultats annoncés restent attribués à leur source. Les dessins expliquent le principe ; les exemples présentent un usage possible.

Notes de version complètes relues. Aucun correctif installé ni serveur testé.

Publié sur ce site le . Mis à jour le . Rédaction : Boris Shutov, avec l’aide de ChatGPT. Notre méthode éditoriale.