يمكن أن يحدث إلغاء تسلسل البيانات غير الموثوقة (Deserialization of untrusted data) في الإصدارات من 0.17.0 إلى 1.14.2 من حزمة تطوير البرامج (SDK) الخاصة...
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
يمكن أن يحدث إلغاء تسلسل البيانات غير الموثوقة (Deserialization of untrusted data) في الإصدارات من 0.17.0 إلى 1.14.2 من حزمة تطوير البرامج (SDK) الخاصة بالعميل في منصة ClearML من Allegro AI، مما يسمح لأداة (artifact) مرفوعة بشكل خبيث بتنفيذ تعليمات برمجية عشوائية على نظام المستخدم النهائي عند التفاعل معها.
CVE-2024-24590 – ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) في ClearML عبر إلغاء تسلسل غير آمن لقطع pickle الأثرية (0.17.0–1.14.2)
CVE-2024-24590 ClearML RCE&CMD POC
باستخدام هذا السكربت يمكنك استغلال الثغرة CVE-2024-24590
تم إنشاء هذا الاستغلال لجهاز Hack The Box، Blurry.
يمكن أن يحدث إلغاء تسلسل البيانات غير الموثوقة في الإصدارات من 0.17.0 إلى 1.14.2 من SDK العميل لمنصة ClearML من Allegro AI، مما يتيح لقطعة أثرية تم تحميلها بشكل ضار تشغيل كود عشوائي على نظام المستخدم النهائي عند التفاعل معها.
إثبات المفهوم لـ CVE-2024-24590
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.