Gradio उपयोगकर्ताओं को मनमाने फ़ाइलें एक्सेस करने की अनुमति देता है

यह भेद्यता Gradio अनुप्रयोगों के लिए गंभीर जोखिम पैदा करती है जो सार्वजनिक रूप से उपलब्ध हैं। हमलावर नेटवर्क अनुरोधों को इंटरसेप्ट और संशोधित करके होस्ट मशीन पर मनमाने ढंग से फ़ाइलों तक पहुँच सकते हैं। इससे संवेदनशील डेटा का खुलासा हो सकता है, जैसे कि कॉन्फ़िगरेशन फ़ाइलें, स्रोत कोड, या उपयोगकर्ता डेटा। इस भेद्यता का उपयोग मशीन पर अन्य अनुप्रयोगों या सेवाओं पर भी हमला करने के लिए किया जा सकता है, जिससे संभावित रूप से व्यापक क्षति हो सकती है। चूंकि Gradio अक्सर मशीन लर्निंग मॉडल को तैनात करने के लिए उपयोग किया जाता है, इसलिए इस भेद्यता का उपयोग मॉडल को समझौता करने या डेटा को दूषित करने के लिए भी किया जा सकता है।

Organizations and individuals deploying Gradio applications with public links, particularly those hosted on platforms like Hugging Face Spaces, are at risk. This includes machine learning engineers, data scientists, and developers who rely on Gradio for building and sharing interactive model demos. Legacy Gradio deployments and those with overly permissive file system permissions are particularly vulnerable.

• python / gradio: Monitor Gradio application logs for unusual file access attempts.

import logging
logging.basicConfig(filename='gradio_app.log', level=logging.INFO)
# ... your Gradio app code ...

• generic web: Inspect access logs for requests targeting unusual file paths within the Gradio application directory. • generic web: Check response headers for unexpected file content types or sizes. • generic web: Use curl to attempt accessing files outside the intended application directory (e.g., /../../etc/passwd).

curl 'http://your-gradio-app.com/../../etc/passwd'

1. 2024-09-25Disclosure

   disclosure

1. आरक्षित2024-02-21
2. प्रकाशित2024-09-25
3. संशोधित2026-02-03
4. EPSS अद्यतन2026-04-02

CVE-2024-1728 को कम करने का प्राथमिक तरीका Gradio को संस्करण 4.19.2 या उच्चतर में अपग्रेड करना है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, Gradio एप्लिकेशन के लिए सार्वजनिक लिंक को अक्षम करने पर विचार करें। इसके अतिरिक्त, एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके नेटवर्क अनुरोधों को फ़िल्टर किया जा सकता है जो फ़ाइल एक्सेस प्रयासों को ब्लॉक करते हैं। Gradio एप्लिकेशन को एक सुरक्षित नेटवर्क पर रखने से भी जोखिम को कम करने में मदद मिल सकती है। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, Gradio एप्लिकेशन के फ़ाइल एक्सेस व्यवहार का परीक्षण करें।