プラットフォーム
python
コンポーネント
vertaai-modeldb
CVE-2024-1961は、vertaai/modeldbのファイルアップロード機能におけるパス・トラバーサル脆弱性です。この脆弱性を悪用されると、攻撃者はファイルシステム上の任意の場所にファイルを書き込み、リモートコード実行（RCE）を引き起こす可能性があります。影響を受けるバージョンはvertaai/modeldbの最新版までです。最新バージョンへのアップデートにより、この脆弱性は修正されています。
この脆弱性は、攻撃者がartifact_pathパラメータを悪用することで、ファイルシステム上の任意の場所にファイルを書き込むことを可能にします。これにより、重要な設定ファイルを上書きするなど、リモートコード実行（RCE）につながる可能性があります。特に、vertaai/modeldbがDockerコンテナ外で実行されている場合、攻撃の影響は甚大になる可能性があります。攻撃者は、システムへの完全なアクセス権を取得し、機密情報を盗み出したり、マルウェアをインストールしたりする可能性があります。この脆弱性は、Log4Shellのようなサプライチェーン攻撃の起点となる可能性も秘めています。
CVE-2024-1961は、2024年4月16日に公開されました。現時点では、この脆弱性を悪用する公開されているPoCは確認されていませんが、パス・トラバーサル脆弱性は一般的に悪用が容易であり、今後悪用される可能性は高いと考えられます。CISAのKEVリストへの登録状況は不明です。NVDデータベースも参照し、最新の情報を確認してください。
Organizations deploying vertaai/modeldb outside of Docker containers are at the highest risk. Environments with weak file access controls or inadequate input validation are also particularly vulnerable. Development environments and testing systems running vertaai/modeldb should be prioritized for patching.
• python / server:
find / -name 'NFSController.java' -o -name 'NFSService.java' 2>/dev/null• python / server:
ps aux | grep -i modeldb• generic web: Inspect file upload endpoints for the presence of the 'artifact_path' parameter. Monitor access logs for requests containing unusual or absolute file paths.
disclosure
エクスプロイト状況
EPSS
4.97% (90% パーセンタイル)
CVSS ベクトル
この脆弱性への対応策として、まずvertaai/modeldbを最新バージョンにアップデートすることを強く推奨します。アップデートが利用できない場合、一時的な回避策として、ファイルアップロード機能の使用を制限したり、artifact_pathパラメータの入力を厳密に検証するWAFルールを導入したりすることを検討してください。また、ファイルアップロードディレクトリのアクセス権を制限し、攻撃者がシステム上の他のファイルにアクセスできないようにすることも有効です。アップデート後、ファイルアップロード機能が正常に動作することを確認してください。
Actualice vertaai/modeldb a la última versión disponible. Asegúrese de que la aplicación se ejecute dentro de un contenedor Docker con configuraciones de seguridad adecuadas para mitigar el riesgo de escritura arbitraria de archivos. Revise y endurezca la configuración de la aplicación para evitar la sobrescritura de archivos críticos.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-1961は、vertaai/modeldbのファイルアップロード機能におけるパス・トラバーサル脆弱性です。攻撃者はこの脆弱性を悪用して、ファイルシステム上の任意の場所にファイルを書き込み、リモートコード実行（RCE）を引き起こす可能性があります。
vertaai/modeldbの最新版までを使用している場合は、影響を受けます。最新バージョンへのアップデートを推奨します。
vertaai/modeldbを最新バージョンにアップデートしてください。アップデートが利用できない場合は、ファイルアップロード機能の使用を制限するか、WAFルールを導入することを検討してください。
現時点では、公開されているPoCは確認されていませんが、パス・トラバーサル脆弱性は一般的に悪用が容易であり、今後悪用される可能性は高いと考えられます。
vertaai/modeldbの公式アドバイザリは、プロジェクトのウェブサイトまたはGitHubリポジトリで確認できます。
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。