Kieran Evans

Nome do software vulnerável e versões afetadas: MindsDB versões 23.10.2.0 e posteriores Descrição: O problema diz respeito à desserialização de dados não confiáveis na plataforma MindsDB. Isso permite que um modelo “interno” carregado de forma maliciosa execute código arbitrário no servidor quando utilizado para uma previsão. Recomendações: Para as versões 23.10.2.0 e posteriores, considere desativar a desserialização de dados não confiáveis até que um patch esteja disponível. Restrinja o acesso ao recurso de upload de modelos “inhouse” para minimizar o risco de exploração. Evite usar as versões afetadas para tarefas de previsão que envolvam modelos não confiáveis. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Nome do software vulnerável e versões afetadas: MindsDB versões 23.10.3.0 e posteriores Descrição: O problema está relacionado à desserialização de dados não confiáveis na plataforma MindsDB. Isso permite que um modelo “interno” carregado de forma maliciosa execute código arbitrário no servidor quando uma consulta “describe” é executada nele. Recomendações: Para as versões 23.10.3.0 e posteriores do MindsDB, considere desativar a desserialização de dados não confiáveis como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à funcionalidade de consulta “describe” para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Nome do software vulnerável e versões afetadas: MindsDB versões 23.10.2.0 e posteriores Descrição: O problema diz respeito à desserialização de dados não confiáveis na plataforma MindsDB. Isso permite que um modelo “inhouse” carregado de forma maliciosa execute código arbitrário no servidor ao usar a função “finetune” nele. A vulnerabilidade pode ser explorada remotamente. Recomendações: Para as versões 23.10.2.0 e posteriores do MindsDB, considere desativar a funcionalidade “finetune” para modelos “inhouse” até que um patch esteja disponível para impedir a execução de código arbitrário. Restrinja o envio de modelos “inhouse” a fontes confiáveis para minimizar o risco de exploração. Como solução alternativa temporária, revise e aprimore a postura de segurança da plataforma MindsDB para impedir a desserialização de dados não confiáveis.

Nome do software vulnerável e versões afetadas: MindsDB (versões afetadas não especificadas) Descrição: Existe uma vulnerabilidade de script entre sites (XSS) que permite a execução de um código JavaScript sempre que um usuário acessa um ML Engine, banco de dados, projeto ou conjunto de dados contendo código JavaScript arbitrário na interface do usuário da web. Isso permite que um código JavaScript seja executado quando um usuário visualiza determinados elementos na interface do usuário da web. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Existe uma vulnerabilidade que permite a execução de código arbitrário quando a integração com o Microsoft SharePoint está instalada no servidor. Para bancos de dados criados com o mecanismo do SharePoint, uma consulta `INSERT` especialmente criada contendo código Python pode ser usada para executar código no servidor. Isso ocorre porque o código é passado para uma função `eval`. A vulnerabilidade está relacionada ao gerenciamento incorreto da geração de código na função `eval` da plataforma MindsDB, permitindo que um invasor remoto execute código arbitrário ao injetar uma consulta `INSERT` especialmente criada.

A linguagem de programação estatística R possui uma vulnerabilidade de desserialização que pode ocorrer quando dados não confiáveis são desserializados, permitindo que um arquivo formatado em RDS (R Data Serialization) ou pacote R criado de forma maliciosa execute código arbitrário no sistema de um usuário final ao ser acionado. Essa vulnerabilidade pode ser explorada por meio do uso de arquivos RDS ou pacotes R especialmente criados, expondo potencialmente os projetos a ataques à cadeia de suprimentos. O problema está relacionado ao uso de objetos promise e avaliação preguiçosa no R.