Crawl4AIに証明書検証の不備の脆弱性、通信を傍受されるおそれ
概要
Crawl4AIの0.9.5より前のバージョンには、証明書検証の不備の脆弱性があります。Chromiumが証明書エラーを無視する設定で起動するため、通信経路上の攻撃者が偽のコンテンツを返し、送信されたCookieやヘッダーを読み取れるおそれがあります。修正版の0.9.5では対策されているため、0.9.5以降へのアップデートが必要です。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Crawl4AIの0.9.5より前のバージョンには、証明書検証の不備の脆弱性があります。Chromiumが証明書エラーを無視する設定で起動するため、通信経路上の攻撃者が偽のコンテンツを返し、送信されたCookieやヘッダーを読み取れるおそれがあります。修正版の0.9.5では対策されているため、0.9.5以降へのアップデートが必要です。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| unclecode | crawl4ai |
0.9.5 未満 |
0.9.5 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Crawl4AI before 0.9.5 contains an improper certificate validation vulnerability that allows network attackers to intercept crawls because Chromium always launches with --ignore-certificate-errors. Man-in-the-middle or DNS-controlling attackers can serve forged content to the crawler and read cookies and headers sent, while hard-coded --no-sandbox also overrides CRAWL4AI_CHROMIUM_SANDBOX.
出典: CVE.org (CVE Program・cvelistV5) NVD