BentoML 1.x < 1.4.8 任意のコード実行

critical Nessus プラグイン ID 235353

Language:

概要

リモートホストにインストールされている BentoML ライブラリは、コードインジェクションの脆弱性の影響を受けます。

説明

リモートホストにインストールされている BentoML ライブラリのバージョンに、任意のコードの実行の脆弱性があります。BentoML は、AI アプリおよびモデル推論のために最適化されたオンライン提供システムを構築するための Python ライブラリです。1.4.8 より前には、BentoML のランナーサーバーに安全でない逆シリアル化がありました。POST リクエストに特定のヘッダーとパラメーターを設定することで、サーバー上で権限のない任意のコードを実行することが可能になります。これにより、攻撃者はサーバー上で最初のアクセス権を取得でき、情報を漏洩することができます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。