CVE-2024-5452

Nome do software vulnerável e versões afetadas:

pytorch-lightning versão 2.2.1

Descrição:

Existe uma vulnerabilidade de execução remota de código devido ao tratamento inadequado de entradas do usuário deserializadas e ao gerenciamento incorreto de atributos dunder pela biblioteca deepdiff. A biblioteca utiliza objetos deepdiff.Delta para modificar o estado da aplicação com base em ações do front-end. No entanto, é possível contornar as restrições previstas para a modificação de atributos dunder, permitindo que um invasor construa um delta serializado que passe pela lista de permissões do deserializador e contenha atributos dunder. Quando processado, isso pode ser explorado para acessar outros módulos, classes e instâncias, levando à gravação arbitrária de atributos e à execução remota total de código em qualquer aplicativo pytorch-lightning auto-hospedado em sua configuração padrão, já que o endpoint delta está habilitado por padrão.

Recomendações:

Para a versão 2.2.1, considere desativar o endpoint delta para minimizar o risco de exploração até que um patch esteja disponível. Restrinja o acesso à biblioteca deepdiff e seus objetos Delta para impedir a modificação não autorizada do estado da aplicação. Evite usar a biblioteca deepdiff para deserializar entradas do usuário até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.