CVE-2024-8019

RCE przez upload pliku w PyTorch Lightning (Windows) – CVE-2024-8019

CVSS 9.1v3.1pub. 2025-03-20upd. 2025-08-01

W bibliotece lightning-ai/pytorch-lightning w wersji 2.3.2, podczas uruchamiania aplikacji LightningApp na hoście z systemem Windows, istnieje krytyczna podatność w endpoincie przesyłania plików. Atakujący bez uwierzytelnienia może nadpisać lub umieścić dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu (RCE).

▸ Pokaż oryginał (EN)

In lightning-ai/pytorch-lightning version 2.3.2, a vulnerability exists in the `LightningApp` when running on a Windows host. The vulnerability occurs at the `/api/v1/upload_file/` endpoint, allowing an attacker to write or overwrite arbitrary files by providing a crafted filename. This can lead to potential remote code execution (RCE) by overwriting critical files or placing malicious files in sensitive locations.

🤖 Analiza AI

Jak działa

Podatność (CWE-434 – Unrestricted Upload of File with Dangerous Type) występuje w endpoincie `/api/v1/upload_file/`. Atakujący przesyła żądanie HTTP zawierające spreparowaną nazwę pliku, która nie jest odpowiednio walidowana ani sanityzowana. Dzięki temu możliwe jest zapisanie lub nadpisanie dowolnego pliku w systemie plików hosta – w tym plików krytycznych dla działania systemu lub aplikacji. Umieszczenie złośliwego pliku w odpowiedniej lokalizacji może skutkować wykonaniem dowolnego kodu na serwerze.

Skutki

Atakujący może nadpisać krytyczne pliki systemowe lub aplikacji albo umieścić złośliwe pliki w newralgicznych lokalizacjach, co może doprowadzić do zdalnego wykonania kodu (RCE) oraz naruszenia integralności i dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — poprawka dostępna w repozytorium GitHub pod adresem: https://github.com/lightning-ai/pytorch-lightning/commit/330af381de88cff17515418a341cbc1f9f127f9a

Kogo dotyczy

lightning-ai/pytorch-lightning w wersji 2.3.2, uruchamiany jako LightningApp na hoście z systemem Windows

Uwagi

Podatność dotyczy wyłącznie środowisk uruchamiających LightningApp na hoście z systemem Windows. Szczegóły zgłoszenia dostępne są na platformie huntr.com (program bug bounty).