CVE-2024-5452

01. نظرة عامة على RCE و pytorch-lightning

• 1) نظرة عامة على RCE و pytorch-lightning

  RCE (Remote Code Execution، تنفيذ التعليمات البرمجية عن بُعد) هي ثغرة تسمح للمهاجم بتنفيذ تعليمات برمجية عشوائية داخل النظام أو التطبيق عن بُعد، وهي مطابقة لـ CWE-94: Improper Control of Generation of Code ('Code Injection').

  PyTorch Lightning هي مكتبة تساعد على إدارة تدريب نماذج التعلم العميق القائمة على PyTorch بسهولة، وDeepDiff هي مكتبة تقارن بين كائنين من Python لتحليل الاختلافات.

  CVE-2024-5452 هي ثغرة تحدث عند استخدام DeepDiff وLightning في وظائف تطبيق الويب المتعلقة بأوزان نماذج الذكاء الاصطناعي في Lightning، وتؤدي إلى RCE أثناء إلغاء التسلسل (Deserialization) من خلال التحقق الضعيف من الترويسات في DeepDiff وتلويث خصائص الدلتا (Delta).

  من خلال هذا، سنستعرض مسار الكود الذي يؤدي إلى ثغرة تسمح للمهاجم بحقن كائنات عشوائية أو تنفيذ تعليمات برمجية عن بُعد (RCE)، وسنبحث عن الإجراءات المضادة لذلك.

02. تحليل ثغرة إلغاء التسلسل في بيئة pytorch-lightning

• 2.1 تحليل هجوم باستخدام تلويث Delta في DeepDiff

  يمكن للمهاجم استهداف إحدى نقاط نهاية DeepDiff في شيفرة تطبيق الويب في pytorch-lightning، وتحديدًا /api/v1/delta، عن طريق إرسال خصائص دلتا ملوثة.
  سنستعرض مثالًا لفهم كيفية تلويث خصائص dunder في delta وما يؤدي إليه من إحداث ثغرة إلغاء تسلسل الكائنات.

  1) تدفق الهجوم باستخدام تلويث Delta في DeepDiff

  الطلب الأول هو مثال هجوم العميل، إعداد التلويث -> التحقق الضعيف من الترويسات في /api/v1/delta في DeepDiff -> حفظ الحالة من خلال إعداد التلويث.

  

  [الشكل 1] POC - هجوم نقطة النهاية (Endpoint)

  

  [الشكل 2] POC - حقن الثغرة / محتوى إعداد التلويث الكامل

  

  [الشكل 3] lightning/api/core/api.py / جزء منطق فحص الترويسات الضعيف

  

  [الشكل 4] lightning/api/core/app.py / قسم الإعداد

  

  [الشكل 5] lightning/api/core/app.py / قسم حفظ الإعداد