PT-2021-22415 · Nvcaffe · Nvcaffe

Lowdrnikolaev · Publicado 2021-08-23 · Atualizado 2021-08-31 · CVE-2021-39158

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do NVCaffe anteriores à 0.17.4

Descrição

O problema decorre do fato de a lista de dependências obrigatórias do NVCaffe em Python conter uma referência ao gfortran, que não existe no repositório pypi.org. Isso poderia ter permitido que um invasor publicasse arquivos maliciosos no pypi.org, levando um usuário a instalá-los no NVCaffe.

Recomendações

Para versões anteriores à 0.17.4, atualize para a versão 0.17.4 ou posterior para resolver o problema. Como solução temporária, considere restringir a instalação de dependências de fontes não confiáveis para minimizar o risco de exploração.

Correção

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-345

Identificadores relacionados

CVE-2021-39158

GHSA-FMPP-8PWG-VWH9

Produtos afetados

Nvcaffe

Referências · 4

• https://github.com/NVIDIA/caffe/security/advisories/GHSA-fmpp-8pwg-vwh9 · Nota
• https://osv.dev/vulnerability/CVE-2021-39158 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-39158 · Nota de Segurança
• https://t.me/cibsecurity/27726 · Publicação no Telegram