PT-2024-15922 · Van Der Schaar · Synthcity

Bayuncao · Publicado 2024-01-26 · Atualizado 2024-05-17 · CVE-2024-0937

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

van der Schaar LAB synthcity versão 0.2.9

Descrição

Foi identificada uma falha crítica na função load from file do componente PKL File Handler, levando à deserialização. O ataque pode ser executado remotamente. O fornecedor foi contatado e confirmou a existência da falha. Está previsto o lançamento de um patch.

Recomendações

Para o van der Schaar LAB synthcity versão 0.2.9, considere desativar a função load from file do PKL File Handler até que um patch esteja disponível. Aguarde o lançamento oficial do patch, previsto para fevereiro de 2024.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2024-0937

GHSA-4957-7VHP-7V59

Produtos afetados

Synthcity

Referências · 11

• 🔥❌ https://github.com/bayuncao/vul-cve-6/blob/main/poc.py · Exploit, Deleted
• 🔥❌ https://github.com/bayuncao/vul-cve-6 · Exploit, Deleted
• https://github.com/vanderschaarlab/synthcity/blob/73cfd8ca784f70141fc7f2969221cd3b5737f7b1/src/synthcity/utils/serialization.py#L30 · Nota
• https://github.com/vanderschaarlab/synthcity · Nota
• https://twitter.com/CVEnew/status/1750936050959057319 · Publicação no Twitter
• https://vuldb.com/?ctiid.252182 · Nota
• https://osv.dev/vulnerability/GHSA-4957-7vhp-7v59 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-0937 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1750967033724801059 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-0937 · Nota de Segurança
• https://vuldb.com/?id.252182 · Nota