CVE-2026-27905
Açıklama
BentoML, AI uygulamaları ve model çıkarımı için optimize edilmiş çevrimiçi sunum sistemleri oluşturmaya yarayan bir Python kütüphanesidir. 1.4.36 sürümünden önce, safe_extract_tarfile() fonksiyonu her bir tar üyesinin yolunun hedef dizin içinde olduğunu doğrular; ancak sembolik bağlantı (symlink) üyeleri için yalnızca sembolik bağlantının kendi yolunu doğrular, sembolik bağlantının hedefini doğrulamaz. Bir saldırgan, çıkarma dizininin dışını işaret eden bir sembolik bağlantı ve ardından bu sembolik bağlantı üzerinden yazan normal bir dosya içeren kötü amaçlı bir bento/model tar dosyası oluşturarak ana bilgisayar dosya sisteminde rastgele dosya yazma işlemi gerçekleştirebilir. Bu güvenlik açığı 1.4.36 sürümünde giderilmiştir.
Nasıl düzeltilir
- bentoml bentoml1.4.36 ya da sonraki bir sürüm
- bentoml1.4.36 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bentoml bentoml | v < 1.4.36 | 1.4.36 |
| bentomlPyPI | v < 1.4.36 | 1.4.36 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.