CVE-2026-24123
Açıklama
BentoML, yapay zeka uygulamaları ve model çıkarımı için optimize edilmiş çevrimiçi sunum sistemleri oluşturmaya yarayan bir Python kütüphanesidir. Versiyon 1.4.34 öncesinde, BentoML'in `bentofile.yaml` yapılandırması; birden fazla dosya yolu alanı (`description`, `docker.setup_script`, `docker.dockerfile_template`, `conda.environment_yml`) üzerinden dizin gezginliği (path traversal) saldırılarına izin vermektedir. Bir saldırgan, mağdur tarafından derlendiğinde dosya sistemindeki rastgele dosyaları bento arşivine sızdıran kötü amaçlı bir bentofile hazırlayabilir. Bu durum; hassas dosyaların (SSH anahtarları, kimlik bilgileri, ortam değişkenleri) sessizce bentolara gömüldüğü ve kayıt defterlerine gönderildiğinde veya dağıtıldığında açığa çıktığı tedarik zinciri saldırılarına olanak tanır. Versiyon 1.4.34, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- bentoml bentoml1.4.34 ya da sonraki bir sürüm
- bentoml1.4.34 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bentoml bentoml | v < 1.4.34 | 1.4.34 |
| bentomlPyPI | v < 1.4.34 | 1.4.34 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.