PT-2025-12263 · Bentoml · Bentoml

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-9056

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas BentoML versão v1.3.4post1

Descrição O problema consiste em um ataque de Negação de Serviço (DoS) que pode ser explorado ao anexar caracteres, como traços (-), ao final de um multipart boundary em uma requisição HTTP. Isso faz com que o servidor processe continuamente cada caractere, levando a um consumo excessivo de recursos e tornando o serviço indisponível. A vulnerabilidade não requer autenticação e não necessita de nenhuma interação do usuário, impactando todos os usuários do serviço.

Recomendações Para a versão do BentoML v1.3.4post1, considere restringir o acesso ao módulo de processamento de requisições HTTP para minimizar o risco de exploração até que um patch esteja disponível. Como solução alternativa temporária, evite usar multipart boundaries em requisições HTTP que possam ser vulneráveis a este problema.

Correção

DoS

Allocation of Resources Without Limits

Resource Exhaustion

Enumeração de Fraquezas

CWE-770

CWE-400

Identificadores relacionados

CVE-2024-9056

GHSA-HW8J-HW49-752C

Produtos afetados

Bentoml

Referências · 7

• https://github.com/bentoml/BentoML · Nota
• https://github.com/bentoml/BentoML/blob/v1.4.5/src/bentoml/_internal/io_descriptors/file.py#L293C9-L293C66 · Nota
• https://github.com/bentoml/BentoML/blob/a6f5f937be6ec278f3d4f3bbc6f3c8f9564820d7/src/bentoml/_internal/io_descriptors/file.py#L293 · Nota
• https://twitter.com/CVEnew/status/1902671147881156635 · Publicação no Twitter
• https://huntr.com/bounties/a24a13c2-0300-4a95-b26a-ac7fe8f6521b · Nota
• https://osv.dev/vulnerability/GHSA-hw8j-hw49-752c · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-9056 · Nota de Segurança