Plataforma
java
Componente
fedml
Corrigido em
0.8.1
0.8.2
0.8.3
0.8.4
0.8.5
0.8.6
0.8.7
0.8.8
0.8.9
0.8.10
Uma vulnerabilidade de Path Traversal foi descoberta no FedML-AI FedML nas versões de 0.8.0 a 0.8.9. Essa falha reside na função desconhecida do componente MQTT Message Handler, permitindo o acesso a arquivos fora do diretório esperado. A exploração remota é possível, e o fornecedor não respondeu aos alertas de divulgação.
Uma vulnerabilidade de travessia de diretório foi descoberta no FedML-AI FedML até a versão 0.8.9. Essa falha afeta uma função desconhecida dentro do arquivo FileUtils.java do componente Manipulador de Mensagens MQTT. Um atacante pode explorar essa vulnerabilidade manipulando os dados do argumento 'dataSet', permitindo potencialmente o acesso a arquivos e diretórios fora do escopo pretendido. A vulnerabilidade é classificada como de alta severidade devido à sua capacidade de ser explorada remotamente. O lançamento público de um exploit aumenta significativamente o risco de ataques. O fornecedor foi contatado antecipadamente sobre essa divulgação, mas não respondeu, dificultando os esforços de mitigação.
A vulnerabilidade é explorada manipulando o argumento 'dataSet' dentro do componente Manipulador de Mensagens MQTT no arquivo FileUtils.java. O exploit publicamente disponível permite que um atacante remoto acesse arquivos arbitrários no sistema de arquivos subjacente. Isso se deve à validação insuficiente da entrada do usuário. A natureza remota do exploit significa que um atacante não precisa de acesso físico ao sistema. A disponibilidade pública do exploit aumenta a probabilidade de tentativas de exploração. A falta de resposta do fornecedor agrava a situação, pois não há correção oficial disponível.
Organizations utilizing FedML for machine learning or data processing, particularly those deploying it in cloud environments or shared hosting setups, are at significant risk. Environments with weak input validation or inadequate network segmentation are especially vulnerable.
• java / server:
find /path/to/fedml/ -name "FileUtils.java"• java / server:
ps aux | grep -i "FedML"• generic web:
curl -I http://your-fedml-server/../../../../etc/passwddisclosure
Status do Exploit
EPSS
0.04% (percentil 13%)
CISA SSVC
Vetor CVSS
Dada a falta de resposta do fornecedor, a mitigação imediata é desafiadora. A recomendação principal é atualizar para uma versão corrigida do FedML-AI assim que estiver disponível. Enquanto isso, implemente controles de acesso rigorosos no servidor que hospeda o FedML-AI para limitar o acesso a arquivos confidenciais. Monitore ativamente os logs do sistema em busca de atividade suspeita relacionada ao tratamento de arquivos. A segmentação de rede pode isolar o sistema FedML-AI de outros recursos críticos. O silêncio do fornecedor sublinha a importância de planos de resposta a incidentes robustos.
Actualice a una versión corregida de FedML que solucione la vulnerabilidad de recorrido de directorios en el manejo de mensajes MQTT. Consulte la documentación del proveedor o los registros de cambios para obtener más detalles sobre las versiones corregidas y las instrucciones de actualización.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
A travessia de diretório permite que um atacante acesse arquivos e diretórios fora do escopo pretendido, usando sequências como '..' no caminho do arquivo.
Implemente controles de acesso rigorosos, monitore os logs do sistema e considere a segmentação de rede.
A falta de resposta do fornecedor é preocupante e dificulta a mitigação. Considere entrar em contato com o fornecedor diretamente para expressar suas preocupações.
Sim, a disponibilidade pública do exploit sugere que é relativamente fácil de explorar.
Qualquer sistema que execute o FedML-AI nas versões até 0.8.9 é vulnerável. Avalie sua infraestrutura para identificar instâncias afetadas.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo pom.xml e descubra na hora se você está afetado.