概要
LLMフロントエンドツール Hermes WebUI のバージョン0.51.357以前に、初回セットアップ時に設定APIへ認証なしでアクセスできる脆弱性が確認されました。CVSSスコアは9.4（CRITICAL）です。
セットアップウィンドウ中、ネットワーク到達可能な攻撃者が設定APIエンドポイントの _set_password パラメータに任意のパスワードハッシュをPOSTできます。これにより攻撃者はインスタンスのパスワードを乗っ取り、正規オペレーターを締め出すことが可能です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 9.4 (CRITICAL) |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃条件の複雑さ (AC) | 低 (L) |
| 必要な特権 (PR) | 不要 (N) |
| ユーザー操作 (UI) | 不要 (N) |
| CWE | CWE-306（重要機能に対する認証の欠如） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Hermes WebUI | nesquena | 0.51.357 以前 |
初回セットアップ完了後は、設定が確立されているため本脆弱性の悪用リスクは低くなります。ただしアップデートは推奨されます。
修正バージョンと回避策
修正バージョン: v0.51.358
# npm経由の場合
npm install hermes-webui@0.51.358
回避策: 初回セットアップ中はインスタンスを信頼できるネットワーク内に限定し、外部からのアクセスを遮断してください。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。