CVE-2024-35198
Təsvir
TorchServe PyTorch modellərini istehsalatda xidmətə vermək və miqyaslamaq üçün çevik və istifadəsi asan bir vasitədir. TorchServe-in allowed_urls konfiqurasiyası üzrə yoxlaması, əgər URL ".." kimi simvolları ehtiva edirsə, yan keçilə bilər, lakin bu, modelin model anbarına yüklənməsinin qarşısını almır. Fayl yükləndikdən sonra ikinci dəfə URL təqdim etmədən ona istinad edilə bilər ki, bu da allowed_urls təhlükəsizlik yoxlamasını faktiki olaraq yan keçir. Amazon SageMaker və EKS vasitəsilə PyTorch inference Deep Learning Containers (DLC) istifadə edən müştərilər təsirlənmir. TorchServe-də bu problem, yükləmədən əvvəl URL-in ".." kimi simvollarla birlikdə yoxlanılması yolu ilə düzəldilmişdir, bax PR #3082. TorchServe 0.11.0 buraxılışı bu zəifliyin aradan qaldırılması üçün düzəlişi ehtiva edir. İstifadəçilərə yeniləmə tövsiyə olunur. Bu zəiflik üçün məlum iş ətrafı həlli yoxdur.
Necə düzəltmək olar
- pytorch torchserve0.11.0 və ya daha yeni versiya
- torchserve0.11.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pytorch torchserve | 0.4.2 ≤ v < 0.11.0 | 0.11.0 |
| torchservePyPI | v < 0.11.0 | 0.11.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.