Gradio staat gebruikers toe om willekeurige bestanden te benaderen

De impact van CVE-2024-1728 is significant, vooral voor Gradio applicaties die openbaar toegankelijk zijn. Een aanvaller kan de netwerkverzoeken die de Gradio applicatie naar de server stuurt onderscheppen en manipuleren. Dit stelt hen in staat om willekeurige bestanden op de server te benaderen, wat kan leiden tot data-exfiltratie, compromittering van de server, of zelfs de uitvoering van schadelijke code. De ernst van de impact hangt af van de gevoeligheid van de bestanden die op de server staan en de privileges van de gebruiker die de Gradio applicatie uitvoert. Dit type kwetsbaarheid kan vergelijkbaar zijn met andere file access kwetsbaarheden waarbij netwerkverzoeken worden gemanipuleerd om toegang te krijgen tot onbevoegde bronnen.

Organizations and individuals deploying Gradio applications with public links, particularly those hosted on platforms like Hugging Face Spaces, are at risk. This includes machine learning engineers, data scientists, and developers who rely on Gradio for building and sharing interactive model demos. Legacy Gradio deployments and those with overly permissive file system permissions are particularly vulnerable.

• python / gradio: Monitor Gradio application logs for unusual file access attempts.

import logging
logging.basicConfig(filename='gradio_app.log', level=logging.INFO)
# ... your Gradio app code ...

• generic web: Inspect access logs for requests targeting unusual file paths within the Gradio application directory. • generic web: Check response headers for unexpected file content types or sizes. • generic web: Use curl to attempt accessing files outside the intended application directory (e.g., /../../etc/passwd).

curl 'http://your-gradio-app.com/../../etc/passwd'

1. 2024-09-25Disclosure

   disclosure

1. Gereserveerd2024-02-21
2. Gepubliceerd2024-09-25
3. Gewijzigd2026-02-03
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-1728 is het upgraden van Gradio naar versie 4.19.2 of hoger. Deze versie bevat een patch die de kwetsbaarheid verhelpt. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de Gradio applicatie via een firewall of proxy. Controleer de configuratie van de Gradio applicatie om er zeker van te zijn dat er geen onnodige bestanden toegankelijk zijn via de applicatie. Na de upgrade, verifieer de fix door te proberen een bestand te benaderen dat normaal gesproken niet toegankelijk zou moeten zijn via de Gradio interface.