PT-2024-35110 · Unknown+2 · Scikit-Learn+2
CVE-2024-5206
·
Publicado
2024-06-06
·
Atualizado
2024-10-24
CVSS v3.1
4.7
Média
| Vetor | AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do scikit-learn até e incluindo a 1.4.1.post1
Descrição
Foi identificado um problema de vazamento de dados confidenciais no TfidfVectorizer do scikit-learn. A vulnerabilidade decorre do armazenamento inesperado de todos os tokens presentes nos dados de treinamento dentro do atributo
stop words , em vez de armazenar apenas o subconjunto de tokens necessário para o funcionamento da técnica TF-IDF. Esse comportamento leva ao potencial vazamento de informações confidenciais, já que o atributo stop words pode conter tokens que deveriam ser descartados e não armazenados, como senhas ou chaves. O impacto desse problema varia de acordo com a natureza dos dados que estão sendo processados pelo vetorizador.Recomendações
Para versões do scikit-learn até e incluindo a 1.4.1.post1, atualize para a versão 1.5.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao atributo
stop words para minimizar o risco de vazamento de informações confidenciais. Evite usar o TfidfVectorizer com dados confidenciais até que o problema seja resolvido.Exploit
Correção
Insecure Storage of Sensitive Information
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Debian
Suse
Scikit-Learn