PT-2021-23627 · Rasa · Rasa X

Rasa-Jmac · Publicado 2021-10-22 · Atualizado 2021-10-28 · CVE-2021-42556

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Rasa X anteriores à 0.42.4

Descrição

A vulnerabilidade permite a traversal de diretórios durante a extração de arquivos compactados. Na funcionalidade que permite ao usuário carregar um arquivo de modelo treinado, um invasor tem capacidade de gravação arbitrária em diretórios específicos por meio de um arquivo compactado especialmente criado.

Recomendações

Para versões anteriores à 0.42.4, atualize para a versão 0.42.4 ou posterior para resolver o problema. Como solução temporária, considere restringir a funcionalidade que permite aos usuários carregar arquivos de modelos treinados até que um patch seja aplicado. Evite usar arquivos de arquivo criados especificamente para explorar a vulnerabilidade de traversal de diretório.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-42556

GHSA-VP2H-J6PX-56RC

Produtos afetados

Rasa X

Referências · 6

• https://rasa.com · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-42556 · Nota de Segurança
• https://github.com/RasaHQ/rasa-x-security-advisories/security/advisories/GHSA-vp2h-j6px-56rc · Nota
• https://t.me/cibsecurity/31055 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-42556 · Aviso do Fabricante
• https://t.me/cvenotify/22559 · Publicação no Telegram