CVE-2024-0964

Path Traversal (LFI) w Gradio poprzez złośliwą wartość JSON w API

CVSS 9.4v3.1pub. 2024-02-05upd. 2024-11-21

W bibliotece Gradio istnieje podatność typu path traversal (CWE-22), która pozwala na zdalne wywołanie lokalnego dołączenia pliku (Local File Include) poprzez spreparowaną wartość JSON w żądaniu API. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

A local file include could be remotely triggered in Gradio due to a vulnerable user-supplied JSON value in an API request.

🤖 Analiza AI

Jak działa

Atakujący wysyła żądanie do API Gradio zawierające złośliwie spreparowaną wartość JSON. Aplikacja nieprawidłowo waliduje tę wartość, co umożliwia manipulację ścieżką do pliku i wyjście poza dozwolony katalog (path traversal). W efekcie serwer może zostać zmuszony do odczytu lub ujawnienia dowolnych plików lokalnych dostępnych dla procesu aplikacji.

Skutki

Nieuwierzytelniony atakujący zdalnie może uzyskać nieautoryzowany dostęp do poufnych plików na serwerze (wysokie ryzyko utraty poufności i integralności danych) oraz potencjalnie doprowadzić do częściowego zakłócenia dostępności usługi.

Mitygacja

Należy zaktualizować Gradio do wersji zawierającej commit d76bcaaaf0734aaf49a680f94ea9d4d22a602e70 lub nowszej. Szczegóły dotyczące konkretnych wersji patcha dostępne są w referencjach producenta oraz na platformie huntr.com.

Kogo dotyczy

Gradio Project Gradio — wersje wskazane w referencjach producenta (commit naprawczy: d76bcaaaf0734aaf49a680f94ea9d4d22a602e70)

Uwagi

Podatność została zgłoszona za pośrednictwem platformy huntr.com (program bug bounty). Szczegóły techniczne dostępne pod adresem: https://huntr.com/bounties/25e25501-5918-429c-8541-88832dfd3741