W bibliotece lightning-ai/pytorch-lightning w wersji 2.3.2, podczas uruchamiania aplikacji LightningApp na hoście z systemem Windows, istnieje krytyczna podatność w endpoincie przesyłania plików. Atakujący bez uwierzytelnienia może nadpisać lub umieścić dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu (RCE).
▸ Pokaż oryginał (EN)
In lightning-ai/pytorch-lightning version 2.3.2, a vulnerability exists in the `LightningApp` when running on a Windows host. The vulnerability occurs at the `/api/v1/upload_file/` endpoint, allowing an attacker to write or overwrite arbitrary files by providing a crafted filename. This can lead to potential remote code execution (RCE) by overwriting critical files or placing malicious files in sensitive locations.
Podatność (CWE-434 – Unrestricted Upload of File with Dangerous Type) występuje w endpoincie `/api/v1/upload_file/`. Atakujący przesyła żądanie HTTP zawierające spreparowaną nazwę pliku, która nie jest odpowiednio walidowana ani sanityzowana. Dzięki temu możliwe jest zapisanie lub nadpisanie dowolnego pliku w systemie plików hosta – w tym plików krytycznych dla działania systemu lub aplikacji. Umieszczenie złośliwego pliku w odpowiedniej lokalizacji może skutkować wykonaniem dowolnego kodu na serwerze.
Atakujący może nadpisać krytyczne pliki systemowe lub aplikacji albo umieścić złośliwe pliki w newralgicznych lokalizacjach, co może doprowadzić do zdalnego wykonania kodu (RCE) oraz naruszenia integralności i dostępności systemu.
Należy zastosować patche dostępne u producenta zgodnie z referencjami — poprawka dostępna w repozytorium GitHub pod adresem: https://github.com/lightning-ai/pytorch-lightning/commit/330af381de88cff17515418a341cbc1f9f127f9a
lightning-ai/pytorch-lightning w wersji 2.3.2, uruchamiany jako LightningApp na hoście z systemem Windows
Podatność dotyczy wyłącznie środowisk uruchamiających LightningApp na hoście z systemem Windows. Szczegóły zgłoszenia dostępne są na platformie huntr.com (program bug bounty).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:HLightningai Pytorch Lightning
APPLightningai2.3.2
Powiązane podatności
PyTorch Lightning – mechanizm harvesting poświadczeń (Embedded Malicious Code)
Path Traversal w PyTorch Lightning umożliwiający RCE przez złośliwy plugin
RCE w pytorch-lightning przez podatną deserializację obiektów deepdiff
Code Injection in GitHub repository pytorchlightning/pytorch-lightning prior to 1.6.0.
PyTorch-Lightning versions 2.6.0 and earlier contain an insecure deserialization vulnerability (CWE-502) in th...