PT-2022-20867 · Nvflare · Nvflare

Nintorac + 1 · Publicado 2022-06-22 · Atualizado 2022-07-13 · CVE-2022-31605

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do NVFLARE anteriores à 2.1.2

Descrição

O problema diz respeito à desserialização de dados não confiáveis no módulo utils do NVFLARE, onde arquivos YAML são carregados por meio de yaml.load() em vez de yaml.safe load(). Isso pode permitir que um invasor de rede sem privilégios cause execução remota de código, negação de serviço e afete tanto a confidencialidade quanto a integridade.

Recomendações

Para versões anteriores à 2.1.2, atualize para a versão 2.1.2 para resolver o problema.

Como solução alternativa temporária, considere alterar yaml.load() para yaml.safe load() no módulo afetado.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2022-31605

GHSA-HRF3-622Q-8366

PYSEC-2022-232

Produtos afetados

Nvflare

Referências · 9

• https://github.com/NVIDIA/NVFlare · Nota
• https://github.com/NVIDIA/NVFlare/security/advisories/GHSA-hrf3-622q-8366 · Nota
• https://github.com/NVIDIA/NVFlare/commit/4de9782697ecb12f39bcae83221bd8d3498959be · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/nvflare/PYSEC-2022-232.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-31605 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hrf3-622q-8366 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-232 · Aviso do Fabricante
• https://t.me/cibsecurity/45509 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-31605 · Aviso do Fabricante