PT-2024-35110 · Unknown+2 · Scikit-Learn+2

CVE-2024-5206

·

Publicado

2024-06-06

·

Atualizado

2024-10-24

CVSS v3.1

4.7

Média

VetorAV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do scikit-learn até e incluindo a 1.4.1.post1
Descrição
Foi identificado um problema de vazamento de dados confidenciais no TfidfVectorizer do scikit-learn. A vulnerabilidade decorre do armazenamento inesperado de todos os tokens presentes nos dados de treinamento dentro do atributo stop words , em vez de armazenar apenas o subconjunto de tokens necessário para o funcionamento da técnica TF-IDF. Esse comportamento leva ao potencial vazamento de informações confidenciais, já que o atributo stop words pode conter tokens que deveriam ser descartados e não armazenados, como senhas ou chaves. O impacto desse problema varia de acordo com a natureza dos dados que estão sendo processados pelo vetorizador.
Recomendações
Para versões do scikit-learn até e incluindo a 1.4.1.post1, atualize para a versão 1.5.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao atributo stop words para minimizar o risco de vazamento de informações confidenciais. Evite usar o TfidfVectorizer com dados confidenciais até que o problema seja resolvido.

Exploit

Correção

Insecure Storage of Sensitive Information

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-5206
ECHO-BF4B-FB83-A5A9
GHSA-JW8X-6495-233V
MGASA-2024-0228
OESA-2024-1745
OPENSUSE-SU-2024:14043-1
OPENSUSE-SU-2024_2029-1
PYSEC-2024-110
SUSE-SU-2024:2029-1

Produtos afetados

Debian
Suse
Scikit-Learn