Label Studio heeft een Path Traversal Vulnerability via het image veld

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op het systeem te lezen, mits de label-studio-sdk wordt gebruikt voor exportfunctionaliteiten zoals VOC, COCO en YOLO. Dit kan leiden tot blootstelling van gevoelige informatie, zoals configuratiebestanden, broncode of andere vertrouwelijke gegevens. De impact is aanzienlijk, omdat een aanvaller potentieel toegang kan krijgen tot kritieke systeembestanden en de integriteit van de applicatie kan compromitteren. De kwetsbaarheid is bevestigd in Label Studio versie 1.13.2.dev0, wat de urgentie van de mitigatie onderstreept.

Organizations using Label Studio for data annotation and labeling, particularly those processing sensitive data, are at risk. Shared hosting environments where Label Studio instances share the same file system are especially vulnerable, as a compromise of one instance could lead to access to data from other instances. Users relying on older Label Studio versions or those who have not applied security updates are also at increased risk.

• python / sdk: Check Label Studio SDK version using pip show label-studio-sdk. • python / sdk: Monitor file system access logs for unusual activity from the Label Studio process, particularly attempts to access files outside the expected directories. • generic web: Inspect Label Studio export endpoints for suspicious file path parameters using curl or wget. • generic web: Review access and error logs for indications of path traversal attempts (e.g., requests containing ../ sequences).

1. 2025-02-14Disclosure

   disclosure

1. Gereserveerd2025-02-06
2. Gepubliceerd2025-02-14
3. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2025-25295 is het upgraden van de label-studio-sdk naar versie 1.0.10 of hoger. Indien een upgrade direct problemen veroorzaakt, overweeg dan een rollback naar een eerdere, stabiele versie van Label Studio (indien mogelijk) en implementeer tijdelijke maatregelen zoals het beperken van de toegang tot de exportfunctionaliteiten. Het configureren van een Web Application Firewall (WAF) om pad traversal pogingen te detecteren en te blokkeren kan ook helpen. Controleer de toegangsrechten van de gebruiker die de label-studio-sdk uitvoert om te zorgen dat deze alleen toegang heeft tot de noodzakelijke bestanden en directories. Na de upgrade, verifieer de fix door te proberen bestanden buiten de toegestane directory’s te benaderen via de exportfunctionaliteiten; deze pogingen zouden moeten mislukken.