CVE-2024-5980

Nome do software vulnerável e versões afetadas:

pytorch-lightning versão 2.2.4

Descrição:

Existe uma falha de traversal de caminho no endpoint da API “/v1/runs”, permitindo que invasores explorem essa vulnerabilidade ao extrair arquivos tar.gz. Isso pode ser usado para implantar plug-ins tar.gz maliciosos que incorporam arquivos arbitrários, levando potencialmente à gravação de arquivos arbitrários em qualquer diretório no sistema de arquivos local da vítima e à execução remota de código.

Recomendações:

Para a versão 2.2.4 do pytorch-lightning, como solução temporária, considere desativar o plugin server para minimizar o risco de exploração. Evite usar o endpoint da API /v1/runs até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.