PT-2025-12125 · Unknown · Dmlc/Gluon-Cv
Publicado
2025-03-20
·
Atualizado
2025-03-21
·
CVE-2024-12216
CVSS v3.1
7.1
Alta
| Vetor | AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
dmlc/gluon-cv versão 0.10.0
Descrição
Uma vulnerabilidade na API
ImageClassificationDataset.from csv() permite a gravação arbitrária de arquivos. A função faz download e extrai arquivos tar.gz de URLs sem a devida sanitização, tornando-a suscetível a uma vulnerabilidade do tipo TarSlip. Atacantes podem explorar isso criando arquivos tar maliciosos que, quando extraídos, podem sobrescrever arquivos no sistema da vítima por meio de path traversal ou symlinks falsificados.Recomendações
Como solução temporária, considere desativar a função
ImageClassificationDataset.from csv() até que um patch esteja disponível.
Restrinja o acesso à versão 0.10.0 do repositório dmlc/gluon-cv para minimizar o risco de exploração.
Evite utilizar a API ImageClassificationDataset.from csv() na versão afetada até que o problema seja resolvido.Correção
Path traversal
Link Following
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Dmlc/Gluon-Cv