PT-2024-31814 · Cleanlab · Cleanlab

Kasimir Schulz · Publicado 2024-09-12 · Atualizado 2024-09-16 · CVE-2024-45857

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

Cleanlab versões 2.4.0 ou mais recentes

Descrição:

O problema está relacionado à desserialização de dados não confiáveis, o que pode ocorrer no projeto Cleanlab. Isso permite que um arquivo datalab.pkl criado com intenção maliciosa execute código arbitrário no sistema de um usuário final quando o diretório de dados é carregado.

Recomendações:

Para as versões 2.4.0 ou mais recentes, considere evitar o uso de dados não confiáveis no processo de desserialização até que um patch esteja disponível. Como solução temporária, restrinja o acesso ao diretório de dados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2024-45857

GHSA-8CM9-RRGC-4PCJ

Produtos afetados

Cleanlab

Referências · 9

• https://github.com/cleanlab/cleanlab/blob/v2.6.6/cleanlab/datalab/internal/serialize.py#L102-L138 · Nota
• https://github.com/cleanlab/cleanlab · Nota
• https://t.me/cvedetector/5459 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-45857 · Nota de Segurança
• https://hiddenlayer.com/sai-security-advisory/2024-09-cleanlab · Nota
• https://twitter.com/cracbot/status/1835921728687730738 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1834221710695895339 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-8cm9-rrgc-4pcj · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1834248828494430374 · Publicação no Twitter