PT-2024-37303 · Langchain Ai · Langchain

CVE-2024-5998 · Publicado 2024-09-17 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.4

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

langchain-ai/langchain versões anteriores à 0.2.4

Descrição:

Uma vulnerabilidade na função FAISS.deserialize from bytes permite a deserialização de dados não confiáveis em formato pickle, o que pode levar à execução de comandos arbitrários por meio da função os.system.

Recomendações:

Para versões anteriores à 0.2.4, atualize para a versão 0.2.4 ou posterior para resolver o problema.

Como solução temporária, considere desativar a função FAISS.deserialize from bytes até que um patch esteja disponível.

Restrinja o acesso a dados não confiáveis para minimizar o risco de exploração.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2024-5998

GHSA-F2JM-RW3H-6PHG

PYSEC-2024-323

PYSEC-2026-1514

Produtos afetados

Langchain

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/5xxx/CVE-2024-5998.json · Exploit
• 🔥 https://huntr.com/bounties/fa3a2753-57c3-4e08-a176-d7a3ffda28fe · Exploit
• https://github.com/langchain-ai/langchain · Nota
• https://github.com/langchain-ai/langchain/commit/604dfe2d99246b0c09f047c604f0c63eafba31e7 · Correção
• https://github.com/langchain-ai/langchain/commit/77209f315efd13442ec51c67719ba37dfaa44511 · Nota
• https://osv.dev/vulnerability/PYSEC-2024-323 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2026-1514 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-5998 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-5998 · Nota de Segurança
• https://t.me/cvedetector/5806 · Publicação no Telegram
• https://twitter.com/oktsec/status/1836030941346644447 · Publicação no Twitter
• https://github.com/advisories/GHSA-f2jm-rw3h-6phg · Nota
• https://osv.dev/vulnerability/GHSA-f2jm-rw3h-6phg · Aviso do Fabricante
• https://pypi.org/project/langchain-community · Nota
• https://twitter.com/CVEnew/status/1836019646946009133 · Publicação no Twitter