PT-2024-38000 · Unknown · Guardrails Ai

Natan Nehorai · Publicado 2024-07-21 · Atualizado 2024-11-25 · CVE-2024-6961

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.2

Alta

Vetor base

AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Guardrails AI (versões afetadas não especificadas)

Descrição

O problema diz respeito aos documentos RAIL, um formato baseado em XML utilizado pelo Guardrails AI para aplicar verificações de formatação nas saídas de modelos de linguagem de grande escala (LLM). Usuários que utilizam documentos RAIL provenientes de fontes externas correm o risco de sofrer ataques de Entidade Externa XML (XXE), o que poderia levar ao vazamento de dados de arquivos internos por meio da entidade SYSTEM.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2024-6961

GHSA-F8HX-F4XW-C646

Produtos afetados

Guardrails Ai

Referências · 8

• https://github.com/guardrails-ai/guardrails · Nota
• https://github.com/guardrails-ai/guardrails/commit/f3d806afee31e2e3f97af682d16c3c1bc0d3c380 · Nota
• https://github.com/guardrails-ai/guardrails/pull/922 · Nota
• https://research.jfrog.com/vulnerabilities/guardrails-rail-xxe-jfsa-2024-001035519 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-6961 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-f8hx-f4xw-c646 · Aviso do Fabricante
• https://t.me/cvenotify/86934 · Publicação no Telegram
• https://t.me/cvedetector/1342 · Publicação no Telegram