PT-2025-12264 · Bentoml · Bentoml

Publicado 2025-03-20 · Atualizado 2025-03-20 · CVE-2024-9070

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas bentoml/bentoml versões anteriores à 1.3.4.post1

Descrição Existe uma vulnerabilidade de desserialização no servidor runner do BentoML. Ao configurar parâmetros específicos, um atacante pode executar código arbitrário não autorizado no servidor, causando danos graves. O problema é acionado quando o parâmetro args-number é maior que 1, levando à desserialização automática e execução arbitrária de código.

Recomendações Para versões anteriores à 1.3.4.post1, atualize para a versão 1.3.4.post1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o parâmetro args-number para um valor de 1 ou menos para prevenir a desserialização automática e a execução arbitrária de código.

Correção

Deserialization of Untrusted Data

Command Injection

Enumeração de Fraquezas

CWE-502

CWE-77

Identificadores relacionados

CVE-2024-9070

GHSA-9G44-GWVM-HC44

Produtos afetados

Bentoml

Referências · 8

• https://github.com/bentoml/BentoML · Nota
• https://github.com/bentoml/BentoML/blob/v1.4.5/src/bentoml/_internal/server/runner_app.py#L301 · Nota
• https://github.com/bentoml/BentoML/blob/a6f5f937be6ec278f3d4f3bbc6f3c8f9564820d7/src/bentoml/_internal/server/runner_app.py#L297 · Nota
• https://twitter.com/CveFindCom/status/1902670155555213648 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-9070 · Nota de Segurança
• https://twitter.com/CVEnew/status/1902671141560615331 · Publicação no Twitter
• https://huntr.com/bounties/7be6fc22-be18-44ee-a001-ac7158d5e1a5 · Nota
• https://osv.dev/vulnerability/GHSA-9g44-gwvm-hc44 · Aviso do Fabricante