CVE-2024-2912
Açıklama
BentoML framework'ünde, özel olarak hazırlanmış bir POST isteği gönderilerek uzaktan kod çalıştırmaya (RCE) olanak tanıyan güvensiz bir serileştirme çözme (insecure deserialization) zafiyeti bulunmaktadır. Saldırganlar, bu zafiyeti istismar ederek BentoML uygulamasını barındıran sunucuda rastgele komutlar çalıştırabilirler. Zafiyet, serileştirme çözme işlemi sırasında işletim sistemi komutlarını çalıştıracak şekilde hazırlanmış serileştirilmiş bir nesnenin herhangi bir geçerli BentoML uç noktasına gönderilmesiyle tetiklenir. Bu sorun, saldırganların sunucuyu ele geçirmesine ve potansiyel olarak yetkisiz erişim veya kontrol sağlamasına imkan tanıyarak önemli bir güvenlik riski oluşturmaktadır.
Nasıl düzeltilir
- bentoml1.2.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bentomlPyPI | v < 1.2.5 | 1.2.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.