BentoML < 1.4.34 パストラバーサル

medium Nessus プラグイン ID 298466

Language:

概要

リモートホストにインストールされている BentoML ライブラリは、パストラバーサルの脆弱性の影響を受けます。

説明

リモートホストにインストールされている BentoML ライブラリのバージョンは、 1.4.34より前のです。したがって、パストラバーサルの脆弱性による以下の影響を受けます。

- BentoML の Bentofile.yaml 構成により、複数のファイルパスフィールドdescription、docker.setup_script、docker.dockerfile_template、conda.environment_ymlを通じたパストラバーサル攻撃が可能です。攻撃者は、被害者によって構築されたとき、任意のファイルをファイルシステムからbenentアーカイブに抽出する悪意のあるbentofileを作成する可能性があります。これにより、機密ファイル (SSH キー、認証情報、環境変数) がサイレントに Bent に組み込まれ、レジストリにプッシュまたは展開されたときに漏洩するサプライチェーン攻撃が可能になります。CVE-2026-24123

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。