CVE-2024-5187
Təsvir
onnx/onnx framework-ünün 1.16.0 versiyasındakı `download_model_with_test_data` funksiyasında zərərli tar fayllarında yol keçidi (path traversal) hücumlarının yetərsiz qarşısının alınması səbəbindən ixtiyari faylın üzərinə yazılması zəifliyi mövcuddur. Bu zəiflik hücumçulara sistemdəki hər hansı bir faylı dəyişdirməyə imkan verir ki, bu da potensial olaraq uzaqdan kodun icrasına, sistem, şəxsi və ya tətbiq fayllarının silinməsinə səbəb ola bilər və beləliklə, sistemin bütövlüyünə və əlçatanlığına təsir göstərir. Problem, funksiyanın tar faylının çıxarılmasını həyata keçirərkən daxildəki yollar üzərində təhlükəsizlik yoxlamalarının aparmaması ilə bağlıdır; bu, zərərli tar faylında mütləq yolun göstərilməsi ilə `/home/kali/.ssh/authorized_keys` faylının üzərinə yazıla bilməsi ilə nümayiş etdirilmişdir.
Necə düzəltmək olar
- onnx1.16.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation onnx | 1.16.0 | — |
| onnxPyPI | v < 1.16.2, v ≤ 1.17.0 | 1.16.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.