PT-2025-12024 · Dask · Dask

Publicado 2025-03-20 · Atualizado 2025-03-21 · CVE-2024-10096

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Dask <=2024.8.2

Descrição A questão refere-se a uma vulnerabilidade no Servidor Dask Distributed. Ela permite que atacantes criem objetos maliciosos utilizando serialização pickle. Esses objetos podem ser serializados no lado do cliente e enviados ao servidor para desserialização, potencialmente levando à execução remota de comandos e concedendo controle total sobre o servidor Dask.

Recomendações Para versões do Dask <=2024.8.2, considere evitar o uso da serialização pickle até que um patch esteja disponível. Como solução alternativa temporária, restrinja o acesso ao Servidor Dask Distributed para minimizar o risco de exploração.

Correção

Command Injection

Enumeração de Fraquezas

CWE-77

Identificadores relacionados

CVE-2024-10096

GHSA-XQGJ-R6XV-9CW4

Produtos afetados

Dask

Referências · 9

• https://github.com/dask/dask · Nota
• https://cve.org/CVERecord?id=CVE-2024-10096 · Nota de Segurança
• https://ubuntu.com/security/CVE-2024-10096 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-xqgj-r6xv-9cw4 · Aviso do Fabricante
• https://huntr.com/bounties/a4be847b-a52d-42cc-9e78-3299e2d30ab2 · Nota
• https://twitter.com/CVEnew/status/1903082106575585632 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-10096 · Aviso do Fabricante
• https://twitter.com/cybercronai/status/1902933560715047408 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-10096 · Nota de Segurança