PT-2026-30281 · Bentoml · Bentoml
Kodareef5
·
Publicado
2026-04-03
·
Atualizado
2026-04-06
·
CVE-2026-35043
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
BentoML versões anteriores a 1.4.38
Descrição
O BentoML contém uma vulnerabilidade de execução remota de código (RCE) no caminho de implantação em nuvem dentro de
src/bentoml/ internal/cloud/deployment.py. Especificamente, a linha 1648 interpola system packages diretamente em um comando shell usando uma f-string sem aspas adequadas. Isso permite a injeção de comandos quando o script gerado, setup.sh, é carregado no BentoCloud e executado durante a implantação. A vulnerabilidade surge porque a correção implementada no commit ce53491, que adicionou shlex.quote a outras áreas do código, não foi aplicada a este caminho específico. Os valores de system packages do bentofile.yaml são unidos com espaços e interpolados diretamente no comando apt-get install, permitindo que um invasor injete comandos arbitrários. Uma prova de conceito demonstra que um bentofile.yaml malicioso pode ser criado para exfiltrar o nome do host da infraestrutura de construção. Isso pode levar a ataques na cadeia de suprimentos, ameaças internas ou comprometimento mais amplo do CI/CD.Recomendações
Atualize para a versão 1.4.38 ou posterior do BentoML.
Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Bentoml