PT-2021-23110 · Rasa · Rasa

Rasa-Jmac · Publicado 2021-10-21 · Atualizado 2021-10-27 · CVE-2021-41127

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Rasa anteriores à 2.8.10

Descrição

Existe uma vulnerabilidade na funcionalidade que carrega um arquivo tar.gz de modelo treinado, permitindo que um agente mal-intencionado crie um arquivo model.tar.gz capaz de sobrescrever ou substituir arquivos de bot no diretório de bots. Esse problema permite que um invasor tenha capacidade de gravação arbitrária em diretórios específicos usando um arquivo compactado criado de forma maliciosa.

Recomendações

Para versões anteriores à 2.8.10, atualize para o Rasa 2.8.10 para corrigir a vulnerabilidade.

Como solução alternativa temporária para usuários que não possam atualizar, certifique-se de que os usuários não enviem arquivos de modelo não confiáveis e restrinja o acesso à CLI ou ao endpoint da API onde um agente mal-intencionado possa ter como alvo uma instância do Rasa implantada.

Correção

Relative Path Traversal

Path traversal

Enumeração de Fraquezas

CWE-23

CWE-22

Identificadores relacionados

CVE-2021-41127

GHSA-4365-FHM5-QCRX

PYSEC-2021-381

Produtos afetados

Rasa

Referências · 9

• https://github.com/RasaHQ/rasa/commit/1b6b502f52d73b4f8cd1959ce724b8ad0eb33989 · Correção
• https://github.com/RasaHQ/rasa/security/advisories/GHSA-4365-fhm5-qcrx · Nota
• https://github.com/RasaHQ/rasa · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/rasa/PYSEC-2021-381.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2021-381 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-4365-fhm5-qcrx · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-41127 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41127 · Nota de Segurança
• https://t.me/cibsecurity/30994 · Publicação no Telegram