PT-2024-32860 · Gradio · Gradio

Ahpaleus + 1 · Publicado 2024-10-10 · Atualizado 2024-10-17 · CVE-2024-47869

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Gradio anteriores à 4.44

Descrição

Este problema envolve um ataque de temporização na forma como o Gradio compara hashes para a função analytics dashboard. Como a comparação não é feita em tempo constante, um invasor poderia explorar essa vulnerabilidade medindo o tempo de resposta de diferentes solicitações para inferir o hash correto byte a byte. Isso pode levar ao acesso não autorizado ao painel de análise, especialmente se o invasor puder consultar repetidamente o sistema com chaves diferentes.

Recomendações

Para mitigar este problema, atualize para a versão 4.44 ou posterior do Gradio.

Como solução temporária, os desenvolvedores podem corrigir manualmente o painel analytics dashboard para usar uma função de comparação em tempo constante ao comparar valores confidenciais, como hashes.

Alternativamente, o acesso ao painel de análise pode ser desativado para minimizar o risco de exploração.

Exploit

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

CWE-208

Identificadores relacionados

CVE-2024-47869

GHSA-J757-PF57-F8R4

PYSEC-2024-199

Produtos afetados

Gradio

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/47xxx/CVE-2024-47869.json · Exploit
• https://github.com/gradio-app/gradio · Nota
• https://github.com/gradio-app/gradio/security/advisories/GHSA-j757-pf57-f8r4 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/gradio/PYSEC-2024-199.yaml · Nota
• https://osv.dev/vulnerability/GHSA-j757-pf57-f8r4 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-47869 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1844507015462388013 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1844564333436576076 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-47869 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2024-199 · Aviso do Fabricante
• https://t.me/cvedetector/7649 · Publicação no Telegram
• https://t.me/cvenotify/97855 · Publicação no Telegram