Plataforma
python
Componente
clearml-web
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en ClearML, la plataforma de inteligencia artificial de Allegro AI. Esta vulnerabilidad permite a un atacante remoto ejecutar código JavaScript malicioso cuando un usuario visualiza la pestaña Debug Samples en la interfaz web de la plataforma. La vulnerabilidad afecta a todas las versiones de ClearML. Se recomienda actualizar a la versión corregida o implementar medidas de mitigación.
La explotación exitosa de esta vulnerabilidad XSS permite a un atacante inyectar scripts maliciosos en la página web que visualiza un usuario de ClearML. Esto podría resultar en el robo de cookies de sesión, la redirección del usuario a sitios web maliciosos, o la modificación del contenido de la página web. El impacto potencial es significativo, ya que un atacante podría comprometer cuentas de usuario y acceder a información sensible almacenada en ClearML, incluyendo datos de experimentos de aprendizaje automático y configuraciones de la plataforma. La naturaleza de la plataforma, centrada en el desarrollo y despliegue de modelos de IA, amplifica el riesgo, ya que un atacante podría manipular los modelos o los datos de entrenamiento.
La vulnerabilidad fue publicada el 6 de febrero de 2024. No se ha reportado explotación activa en campañas dirigidas, pero la naturaleza crítica de la vulnerabilidad y la facilidad de explotación la convierten en un objetivo atractivo para atacantes. Se recomienda monitorear activamente los sistemas ClearML para detectar posibles intentos de explotación. La alta puntuación CVSS indica una alta probabilidad de explotación si no se toman medidas correctivas.
Organizations heavily reliant on ClearML for machine learning experiment tracking and management are particularly at risk. Teams frequently utilizing the Debug Samples tab for troubleshooting and analysis are also highly vulnerable. Shared hosting environments where ClearML is deployed alongside other applications could expose a broader range of users to potential compromise.
• python / server: Inspect ClearML logs for unusual JavaScript execution patterns or requests targeting the Debug Samples tab. Use Python's requests library to test for XSS by injecting payloads into the Debug Samples tab and observing the response.
import requests
url = 'YOUR_CLEARML_URL/debug_samples'
payload = '<script>alert("XSS")</script>'
response = requests.get(url, params={'debug_sample': payload})
print(response.text)• generic web: Monitor web server access logs for requests containing suspicious JavaScript code in the URL parameters or POST data, specifically targeting the /debug_samples endpoint.
disclosure
Estado del Exploit
EPSS
0.06% (19% percentil)
CISA SSVC
Vector CVSS
La solución principal es actualizar ClearML a la versión corregida tan pronto como esté disponible. Mientras tanto, se recomienda implementar medidas de mitigación como la configuración de un Web Application Firewall (WAF) para filtrar el tráfico malicioso y bloquear la inyección de scripts. También es crucial validar y sanear todas las entradas de usuario antes de mostrarlas en la interfaz web. Implementar políticas de seguridad de contenido (CSP) puede ayudar a reducir el impacto de los ataques XSS al restringir las fuentes de las que se pueden cargar los scripts. Monitorear los registros de ClearML en busca de patrones sospechosos de inyección de scripts es también una práctica recomendada.
Actualice ClearML a la última versión disponible. Esto debería incluir la corrección para la vulnerabilidad XSS. Consulte las notas de la versión para obtener más detalles sobre la actualización.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-24594 is a critical XSS vulnerability in ClearML's web server component, allowing attackers to execute JavaScript code via the Debug Samples tab.
Yes, if you are using any version of ClearML prior to the patched version, you are affected by this vulnerability. All versions are vulnerable.
Upgrade to the latest patched version of ClearML as soon as possible. Until then, implement WAF rules and restrict access to the Debug Samples tab.
While no active exploitation campaigns have been confirmed, the vulnerability's severity and ease of exploitation suggest a high probability of exploitation.
Refer to the official ClearML security advisory for detailed information and remediation steps: [https://clear.ml/security/advisories/CVE-2024-24594](https://clear.ml/security/advisories/CVE-2024-24594)
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo requirements.txt y te decimos al instante si estás afectado.