CVE-2025-3108
Açıklama
run-llama/llama_index kütüphanesinin JsonPickleSerializer bileşeninde, v0.12.27 ile v0.12.40 arasındaki sürümleri etkileyen kritik bir deserialization zafiyeti bulunmaktadır. Bu zafiyet, Python'un pickle modülüne yapılan güvensiz geri dönüş (fallback) nedeniyle uzaktan kod çalıştırmaya olanak tanır. JsonPickleSerializer, güvenilmeyen verileri işlerken rastgele kod çalıştırabilen pickle.loads() kullanarak deserialization işlemini önceliklendirir. Saldırganlar, tam sistem ele geçirme sağlamak için kötü amaçlı yükler oluşturarak bu durumu istismar edebilirler. Kök nedenler arasında güvensiz bir geri dönüş mekanizması, doğrulama veya koruma önlemlerinin eksikliği, yanıltıcı tasarım ve Python güvenlik yönergelerinin ihlali yer almaktadır.
Nasıl düzeltilir
- llamaindex llamaindex0.12.41 ya da sonraki bir sürüm
- llama-index-core0.12.41 ya da sonraki bir sürüm
- llama-index0.12.41 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| llamaindex llamaindex | 0.12.27 ≤ v < 0.12.41 | 0.12.41 |
| llama-index-corePyPI | 0.11.15 ≤ v < 0.12.41 | 0.12.41 |
| llama-indexPyPI | 0.12.27 ≤ v < 0.12.41 | 0.12.41 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.