CVE-2024-5452
Təsvir
lightning-ai/pytorch-lightning kitabxanasının 2.2.1 versiyasında deserializasiya edilmiş istifadəçi girişinin düzgün idarə olunmaması və `deepdiff` kitabxanası tərəfindən dunder atributlarının səhv idarə edilməsi səbəbindən uzaqdan kodun icrası (RCE) zəifliyi mövcuddur. Kitabxana frontend hərəkətləri əsasında tətbiqin vəziyyətini dəyişdirmək üçün `deepdiff.Delta` obyektlərindən istifadə edir. Lakin dunder atributlarının dəyişdirilməsinə dair nəzərdə tutulmuş məhdudiyyətlərdən yan keçmək mümkündür ki, bu da hücumçuya deserializatorun ağ siyahısından keçən və dunder atributları ehtiva edən serializasiya edilmiş delta qurmağa imkan verir. Bu, emal edildikdə digər modullara, siniflərə və instanslara çıxış əldə etmək üçün istismar oluna bilər və ixtiyari atribut yazılmasına və delta endpointi defolt olaraq aktiv olduğundan istənilən öz-özünə host edilən pytorch-lightning tətbiqində defolt konfiqurasiyada tam RCE-yə gətirib çıxarır.
Necə düzəltmək olar
- lightningai pytorch_lightning2.3.3 və ya daha yeni versiya
- lightning2.3.3 və ya daha yeni versiya
- pytorch-lightning2.3.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lightningai pytorch_lightning | v < 2.3.3 | 2.3.3 |
| lightningPyPI | v < 2.3.3 | 2.3.3 |
| pytorch-lightningPyPI | v < 2.3.3 | 2.3.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.