BDU:2025-09019

Опубликовано: 07 июл. 2025

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость фреймворка для работы с большими языковыми моделями (LLM) LlamaIndex связана с неправильным ограничением рекурсивных ссылок на сущности в DTD. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

LlamaIndex

Версия ПО

до 0.12.29 (LlamaIndex)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств антивирусного программного обеспечения для анализа XML-файлов, полученных из недоверенных источников;

- использование замкнутой программной среды для работы с XML-файлами, полученными из недоверенных источников.

Использование рекомендаций:

https://github.com/run-llama/llama_index/commit/4f6ee062b19212106a2632af9c9521fc7f0a3584

https://github.com/run-llama/llama_index/pull/18362

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-3225
CVE

EPSS

Процентиль: 13%

0.00043

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2025-3225

CVSS3: 5.3

redhat

около 1 месяца назад

An XML Entity Expansion vulnerability, also known as a 'billion laughs' attack, exists in the sitemap parser of the run-llama/llama_index repository, specifically affecting version v0.12.21. This vulnerability allows an attacker to supply a malicious Sitemap XML, leading to a Denial of Service (DoS) by exhausting system memory and potentially causing a system crash. The issue is resolved in version v0.12.29.

CVE-2025-3225

CVSS3: 7.5

nvd

около 1 месяца назад

GHSA-w42r-mrx7-c633

CVSS3: 7.5

github

около 1 месяца назад

LlamaIndex has an XML Entity Expansion vulnerability in its sitemap parser

EPSS

Процентиль: 13%

0.00043

Низкий

7.5 High

CVSS3

7.8 High

CVSS2