PT-2024-29658 · Haystack+1 · Haystack+1

Silvanocerza · Publicado 2024-07-31 · Atualizado 2024-08-01 · CVE-2024-41950

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.7

Alta

Vetor base

AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Haystack anteriores à 2.3.1

Descrição

O problema diz respeito aos clientes Haystack que permitem aos usuários criar e executar Pipelines a partir do zero, tornando-os vulneráveis à execução remota de código. Certos componentes do Haystack utilizam modelos Jinja2. Se um indivíduo conseguir criar e renderizar esses modelos na máquina do cliente, poderá executar qualquer código.

Recomendações

Para versões anteriores à 2.3.1, atualize para a versão 2.3.1 do Haystack para resolver o problema.

Como solução alternativa temporária, considere impedir que os usuários executem os componentes afetados ou permitir que eles utilizem apenas modelos pré-selecionados.

Exploit

Correção

Enumeração de Fraquezas

CWE-1336

Identificadores relacionados

CVE-2024-41950

GHSA-HX9V-6R9F-W677

Produtos afetados

Haystack

Jinja2

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/41xxx/CVE-2024-41950.json · Exploit
• https://github.com/deepset-ai/haystack · Nota
• https://github.com/deepset-ai/haystack/security/advisories/GHSA-hx9v-6r9f-w677 · Nota
• https://github.com/deepset-ai/haystack/commit/3fed1366c448b02189851bf08166c1f6477a02b0 · Nota
• https://github.com/deepset-ai/haystack/pull/8096 · Nota
• https://github.com/deepset-ai/haystack/releases/tag/v2.3.1 · Nota
• https://github.com/deepset-ai/haystack/pull/8095 · Nota
• https://github.com/deepset-ai/haystack/commit/6c25a5c73e83aa32c3241ba84a5cbb3ac0e8a89e · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-41950 · Nota de Segurança
• https://t.me/cvedetector/2149 · Publicação no Telegram
• https://t.me/cvenotify/88088 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hx9v-6r9f-w677 · Aviso do Fabricante
• https://t.me/cvenotify/88206 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-41950 · Aviso do Fabricante