CVE-2025-27520
BentoML असुरक्षित डिसीरियलाइज़ेशन के माध्यम से रिमोट कोड एक्जीक्यूशन (RCE) की अनुमति देता है
- प्रकाशित
- 4 अप्रैल 2025
- अद्यतन
- 4 अप्रैल 2025
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 98.6%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
BentoML एक पायथन लाइब्रेरी है जो AI ऐप्स और मॉडल इन्फरेंस के लिए अनुकूलित ऑनलाइन सर्विंग सिस्टम बनाने के लिए है। BentoML के नवीनतम संस्करण (v1.4.2) में असुरक्षित डिसीरियलाइज़ेशन के कारण एक रिमोट कोड एक्ज़ीक्यूशन (RCE) भेद्यता की पहचान की गई है। यह किसी भी अनऑथेंटिकेटेड उपयोगकर्ता को सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती है। serde.py में एक असुरक्षित कोड सेगमेंट मौजूद है। यह भेद्यता 1.4.3 में ठीक कर दी गई है।
स्रोत
- BentoML RCEमॉड्यूल
modules/exploits/linux/http/bentoml_rce_cve_2025_27520.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Linux,Python,Unix($.exploit_linux/http/bentoml_rce_cve_2025_27520.platform)
- verification: check_declared($.exploit_linux/http/bentoml_rce_cve_2025_27520.check)
- CVE-2025-27520एक्सप्लॉइट
CVE-2025-27520 के लिए एक्सप्लॉइट — BentoML के नवीनतम संस्करण (v1.4.2) में असुरक्षित डिसीरियलाइज़ेशन के कारण उत्पन्न एक रिमोट कोड एक्ज़ीक्यूशन (RCE) भेद्यता। यह किसी भी अनप्रमाणित उपयोगकर्ता को सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देता है। serde.py में एक असुरक्षित कोड सेगमेंट मौजूद है। यह भेद्यता 1.4.3 में ठीक कर दी गई है।
- day09-bentoml-deser-labअनुसंधान
ay 09 — CVE-2025-27520 (BentoML-शैली असुरक्षित डिसीरियलाइज़ेशन) — स्थानीय Docker लैब
CVE-2025-27520 का सुरक्षित शैक्षिक अनुकरण, जिसमें डिसीरियलाइज़ेशन और टूटे हुए पहुँच नियंत्रण कमजोरियों का प्रदर्शन करने के लिए Flask पर आधारित एक असुरक्षित सेवा और Python PoC स्कैनर शामिल है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।