Kieran Evans

Nome do software vulnerável e versões afetadas: MindsDB versões 23.10.2.0 e posteriores Descrição: O problema diz respeito à desserialização de dados não confiáveis na plataforma MindsDB. Isso permite que um modelo “interno” carregado de forma maliciosa execute código arbitrário no servidor quando utilizado para uma previsão. Recomendações: Para as versões 23.10.2.0 e posteriores, considere desativar a desserialização de dados não confiáveis até que um patch esteja disponível. Restrinja o acesso ao recurso de upload de modelos “inhouse” para minimizar o risco de exploração. Evite usar as versões afetadas para tarefas de previsão que envolvam modelos não confiáveis. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Nome do software vulnerável e versões afetadas: MindsDB versões 23.10.3.0 e posteriores Descrição: O problema está relacionado à desserialização de dados não confiáveis na plataforma MindsDB. Isso permite que um modelo “interno” carregado de forma maliciosa execute código arbitrário no servidor quando uma consulta “describe” é executada nele. Recomendações: Para as versões 23.10.3.0 e posteriores do MindsDB, considere desativar a desserialização de dados não confiáveis como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à funcionalidade de consulta “describe” para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Nome do software vulnerável e versões afetadas: MindsDB versões 23.10.2.0 e posteriores Descrição: O problema diz respeito à desserialização de dados não confiáveis na plataforma MindsDB. Isso permite que um modelo “inhouse” carregado de forma maliciosa execute código arbitrário no servidor ao usar a função “finetune” nele. A vulnerabilidade pode ser explorada remotamente. Recomendações: Para as versões 23.10.2.0 e posteriores do MindsDB, considere desativar a funcionalidade “finetune” para modelos “inhouse” até que um patch esteja disponível para impedir a execução de código arbitrário. Restrinja o envio de modelos “inhouse” a fontes confiáveis para minimizar o risco de exploração. Como solução alternativa temporária, revise e aprimore a postura de segurança da plataforma MindsDB para impedir a desserialização de dados não confiáveis.

Nome do software vulnerável e versões afetadas: MindsDB (versões afetadas não especificadas) Descrição: Existe uma vulnerabilidade de script entre sites (XSS) que permite a execução de um código JavaScript sempre que um usuário acessa um ML Engine, banco de dados, projeto ou conjunto de dados contendo código JavaScript arbitrário na interface do usuário da web. Isso permite que um código JavaScript seja executado quando um usuário visualiza determinados elementos na interface do usuário da web. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** MindsDB, versões 23.10.5.0 a 24.7.4.1 **Descrição** Existe uma vulnerabilidade que permite a execução de código arbitrário quando a integração com o Microsoft SharePoint está instalada no servidor. Para bancos de dados criados com o mecanismo do SharePoint, uma consulta `INSERT` especialmente criada contendo código Python pode ser usada para executar código no servidor. Isso ocorre porque o código é passado para uma função `eval`. A vulnerabilidade está relacionada ao gerenciamento incorreto da geração de código na função `eval` da plataforma MindsDB, permitindo que um invasor remoto execute código arbitrário ao injetar uma consulta `INSERT` especialmente criada. **Recomendações** Para as versões 23.10.5.0 a 24.7.4.1 do MindsDB, considere desativar a integração com o Microsoft SharePoint até que um patch esteja disponível para impedir a exploração. Como solução alternativa temporária, restrinja o uso de consultas `INSERT` em bancos de dados criados com o mecanismo do SharePoint para minimizar o risco de execução de código arbitrário. Evite usar a função `eval` na plataforma MindsDB até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do R de 1.4.0 a 4.3.9 **Descrição** A linguagem de programação estatística R possui uma vulnerabilidade de desserialização que pode ocorrer quando dados não confiáveis são desserializados, permitindo que um arquivo formatado em RDS (R Data Serialization) ou pacote R criado de forma maliciosa execute código arbitrário no sistema de um usuário final ao ser acionado. Essa vulnerabilidade pode ser explorada por meio do uso de arquivos RDS ou pacotes R especialmente criados, expondo potencialmente os projetos a ataques à cadeia de suprimentos. O problema está relacionado ao uso de objetos promise e avaliação preguiçosa no R. **Recomendações** Para resolver o problema, atualize para a versão 4.4.0 ou posterior do R, pois a vulnerabilidade foi corrigida nesta versão. Para versões anteriores à 4.4.0, considere evitar o uso de arquivos RDS ou pacotes R não confiáveis e tenha cuidado ao carregar ou referenciar dados de fontes desconhecidas. Como solução temporária, considere restringir o acesso à função `readRDS` ou desativar o uso de arquivos RDS até que uma correção seja aplicada.