Label Studio possui uma Vulnerabilidade de Traversal de Caminho via campo de imagem

A vulnerabilidade de Path Traversal no label-studio-sdk permite que um atacante explore as funções de exportação (VOC, COCO e YOLO) para acessar arquivos arbitrários no sistema de arquivos subjacente. Isso pode levar à exposição de informações confidenciais, como chaves de API, dados de treinamento de modelos de aprendizado de máquina ou outros dados sensíveis armazenados no servidor. Um atacante pode, potencialmente, ler arquivos de configuração, scripts de banco de dados ou até mesmo executar código malicioso se tiver permissão para escrever em arquivos executáveis. A extensão do impacto depende das permissões do usuário que executa o label-studio-sdk e da sensibilidade dos arquivos acessíveis.

Organizations using Label Studio for data annotation and labeling, particularly those processing sensitive data, are at risk. Shared hosting environments where Label Studio instances share the same file system are especially vulnerable, as a compromise of one instance could lead to access to data from other instances. Users relying on older Label Studio versions or those who have not applied security updates are also at increased risk.

• python / sdk: Check Label Studio SDK version using pip show label-studio-sdk. • python / sdk: Monitor file system access logs for unusual activity from the Label Studio process, particularly attempts to access files outside the expected directories. • generic web: Inspect Label Studio export endpoints for suspicious file path parameters using curl or wget. • generic web: Review access and error logs for indications of path traversal attempts (e.g., requests containing ../ sequences).

1. 2025-02-14Disclosure

   disclosure

1. Reservado2025-02-06
2. Publicada2025-02-14
3. EPSS atualizado2026-04-02

A mitigação primária para esta vulnerabilidade é atualizar o label-studio-sdk para a versão 1.0.10 ou superior. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso ao diretório de exportação e monitorar o sistema de arquivos em busca de atividades suspeitas. Implementar regras de firewall ou proxy para bloquear o acesso não autorizado aos endpoints de exportação também pode ajudar. Verifique se as permissões de arquivo estão configuradas corretamente para limitar o acesso apenas aos usuários e processos autorizados. Após a atualização, confirme a correção verificando se as funções de exportação não permitem mais o acesso a arquivos fora do diretório pretendido.