PT-2022-20866 · Nvidia · Nvflare

Nintorac + 1 · Publicado 2022-06-22 · Atualizado 2022-07-13 · CVE-2022-31604

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do NVFLARE anteriores à 2.1.2

Descrição

O problema está relacionado ao módulo de implementação de PKI do NVFLARE, no qual as credenciais da CA são transmitidas via pickle sem uma desserialização segura. Isso pode permitir que um invasor de rede sem privilégios provoque a execução remota de código, negação de serviço e comprometa tanto a confidencialidade quanto a integridade.

Recomendações

Para versões anteriores à 2.1.2, atualize para a versão 2.1.2 para resolver o problema.

Como solução alternativa temporária, considere substituir a serialização pickle por JSON e alterar o código de acordo para minimizar o risco de exploração.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2022-31604

GHSA-RCXC-3W2M-MP8H

PYSEC-2022-231

Produtos afetados

Nvflare

Referências · 9

• https://github.com/NVIDIA/NVFlare · Nota
• https://github.com/NVIDIA/NVFlare/security/advisories/GHSA-rcxc-3w2m-mp8h · Nota
• https://github.com/NVIDIA/NVFlare/commit/fd018eea9dff925a765079a94c2f017920fcda67 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/nvflare/PYSEC-2022-231.yaml · Nota
• https://osv.dev/vulnerability/GHSA-rcxc-3w2m-mp8h · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-231 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-31604 · Nota de Segurança
• https://t.me/cibsecurity/45519 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-31604 · Aviso do Fabricante