Wernerina

توجد مشكلة حيث يقوم النظام بالبحث عن عمليات التشغيل باستخدام `friendlyId` فقط في نقطة النهاية 'api.v1.runs.$runParam.replay' دون حصر البحث في بيئة تشغيل المستدعي. يتيح ذلك للمهاجم الذي يمتلك مفتاح API صالحًا لأي مستأجر ويعرف `friendlyId` الخاص بالضحية إعادة تشغيل تلك العملية في بيئته الخاصة وقراءة حمولة مهمة الضحية.

A Server-Side Request Forgery (SSRF) issue exists in the webhooks feature. This allows staff users to probe internal hosts from the Ghost server. SSRF is a flaw that allows an attacker to induce the server-side application to make requests to an unintended location.

A server-side request forgery (SSRF) issue exists in the webhooks feature. This allows users with staff privileges to craft requests that enable the Ghost server to probe and access internal network resources.

يمكن أن يؤدي إلغاء مرجعية مؤشر nil في الدالة `rbacAuthorization()` الموجودة في ملف `server/auth/gatekeeper.go` إلى حدوث هجوم رفض الخدمة لمستخدمي SSO. يحدث هذا عندما يتم تعيين `SSO DELEGATE RBAC TO NAMESPACE` إلى `true` وتتطابق مطالبات المستخدم مع قاعدة RBAC على مستوى مساحة الاسم ولكنها لا تتطابق مع قاعدة SSO-namespace. وعلى وجه التحديد، عندما تُرجع الدالة `getServiceAccount(claims, ssoNamespace)` القيمة nil، يظل المتغير `loginAccount` بقيمة nil؛ وإذا تم العثور على `namespaceAccount` مطابق، يتم استدعاء الدالة `precedence()` باستخدام المتغير `loginAccount` الذي قيمته nil، مما يتسبب في حدوث حالة ذعر عند محاولة الوصول إلى `serviceAccount.Annotations`.

يفتقر التحقق من رمز OTP الخاص بالمصادقة الثنائية (2FA) في الإجراء «confirm otp» التابع لوحدة `two factor authentication` إلى آليات تحديد معدل المحاولات، أو آليات الحظر، أو تتبع المحاولات الفاشلة. لا يتتبع الإعداد `brute force block after failed logins` سوى حالات فشل تسجيل الدخول باستخدام كلمة المرور ولا ينطبق على مرحلة المصادقة الثنائية. بالإضافة إلى ذلك، لا تقوم الدالتان `fail login` و`stage failure` بزيادة العدادات أو قفل الحسابات أو فرض تأخيرات. نظرًا لأن نافذة الانحراف الافتراضية لكلمة المرور لمرة واحدة القائمة على الوقت (TOTP) البالغة ±60 ثانية تسمح بوجود عدة رموز صالحة في وقت واحد، يمكن للمهاجم الذي يمتلك كلمة مرور المستخدم استخدام القوة الغاشمة لاكتشاف رمز TOTP المكون من 6 أرقام. تؤثر هذه المشكلة نفسها على التحقق من رمز النسخ الاحتياطي، مما قد يسمح بتجاوز المصادقة الثنائية (2FA) بالكامل.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Kedro السابقة للإصدار 1.3.0 الوصف يعد برنامج Kedro عرضة لمشكلة خطيرة تتعلق بتنفيذ التعليمات البرمجية عن بُعد (RCE) تنشأ عن الاستخدام غير الآمن لوظيفة `logging.config.dictConfig()` مع المدخلات التي يتحكم فيها المستخدم. يسمح البرنامج بتعيين مسار ملف تكوين التسجيل من خلال متغير البيئة `KEDRO LOGGING CONFIG`، وتحميله دون التحقق من صحته بشكل مناسب. يدعم مخطط تكوين التسجيل مفتاحًا خاصًا هو `()`، والذي يسمح بإنشاء مثيلات لوظائف قابلة للاستدعاء تعسفية. يمكن للمهاجم استغلال ذلك لتنفيذ أوامر نظام تعسفية أثناء بدء تشغيل التطبيق. يتم معالجة هذه الثغرة الأمنية من خلال تطبيق عملية التحقق لرفض مفتاح المصنع غير الآمن `()` في تكوينات التسجيل قبل تمريرها إلى `dictConfig()`. التوصيات قم بالترقية إلى إصدار Kedro 1.3.0 أو أحدث. إذا لم يكن الترقية ممكنة على الفور: - لا تسمح لمدخلات غير موثوق بها بالتحكم في متغير البيئة `KEDRO LOGGING CONFIG`. - قم بتقييد حق الوصول للكتابة إلى ملفات تكوين التسجيل. - تجنب استخدام تكوينات التسجيل المقدمة من مصادر خارجية أو التي يتم إنشاؤها ديناميكيًا. - تحقق يدويًا من صحة ملف YAML الخاص بالتسجيل للتأكد من أنه لا يحتوي على المفتاح `()`.

vLLM هو محرك استدلال وتقديم خدمة لنماذج اللغة الكبيرة (LLMs). بدءًا من الإصدار 0.10.1 وحتى الإصدار 0.17.x، يقوم ملفان لتنفيذ النماذج بترميز `trust remote code=True` بشكل ثابت عند تحميل المكونات الفرعية. يؤدي ذلك إلى تجاوز الإعداد الأمني الصريح للمستخدم `--trust-remote-code=False`، مما قد يتيح تنفيذ التعليمات البرمجية عن بُعد عبر مستودعات نماذج ضارة، حتى في حالة قيام المستخدم بتعطيل الثقة في التعليمات البرمجية عن بُعد. تحدث هذه الثغرة الأمنية لأن النظام لا يحترم خيار إلغاء الاشتراك في الأمان الذي يحدده المستخدم. تتجاوز الملفات المتأثرة إعدادات المستخدم دون أي تحذير أو تسجيل في السجل. يمكن لمستودع Hugging Face ضار يستهدف أيًا من البنيتين أن ينجح في تنفيذ التعليمات البرمجية على خادم الاستدلال.