CVE-2024-5452

01. RCE और pytorch-lightning अवलोकन

• 1) RCE और pytorch-lightning अवलोकन

  RCE (Remote Code Execution, दूरस्थ कोड निष्पादन) एक भेद्यता है जो हमलावर को दूरस्थ रूप से सिस्टम या एप्लिकेशन के भीतर मनमाना कोड निष्पादित करने की अनुमति देती है, और यह CWE-94: Improper Control of Generation of Code ('Code Injection') है।

  PyTorch Lightning एक लाइब्रेरी है जो PyTorch-आधारित डीप लर्निंग मॉडल प्रशिक्षण को आसानी से प्रबंधित करने में मदद करती है, और DeepDiff एक लाइब्रेरी है जो दो Python ऑब्जेक्ट्स की तुलना करके अंतर का विश्लेषण करती है।

  CVE-2024-5452 एक भेद्यता है जो Lightning के AI मॉडल वज़न संबंधी वेब एप्लिकेशन फीचर में DeepDiff और Lightning का उपयोग करने की प्रक्रिया के दौरान DeepDiff के कमजोर हेडर सत्यापन और डेल्टा विशेषता प्रदूषण के माध्यम से डिसीरियलाइज़ेशन (deserialization) के समय RCE उत्पन्न करती है।

  इसके माध्यम से हम उस कोड प्रवाह को देखेंगे जिसमें हमलावर मनमाना ऑब्जेक्ट इंजेक्ट कर सकता है या रिमोट कोड एक्ज़ीक्यूशन (RCE) कर सकता है, और इसके समाधान के उपायों पर विचार करेंगे।

02. pytorch-lightning वातावरण में डिसीरियलाइज़ेशन भेद्यता का विश्लेषण

• 2.1 DeepDiff में Delta प्रदूषण का उपयोग करके हमले का विश्लेषण

  pytorch-lightning में वेब एप्लिकेशन स्रोत के DeepDiff एंडपॉइंट्स में से /api/v1/delta पर delta की विशेषताओं को प्रदूषित करके भेजकर हमला किया जा सकता है।
  उदाहरण देखकर हम जानेंगे कि delta के dunder गुणों को प्रदूषित करके ऑब्जेक्ट डिसीरियलाइज़ेशन भेद्यता कैसे उत्पन्न होती है।

  1) DeepDiff में Delta प्रदूषण का उपयोग करके हमले का प्रवाह

  पहला अनुरोध क्लाइंट हमला उदाहरण, प्रदूषण सेटिंग -> Deepdiff के /api/v1/delta में कमजोर हेडर सत्यापन -> प्रदूषण सेटिंग के माध्यम से स्थिति सहेजना है।

  

  [चित्र 1] POC - Endpoint हमला

  

  [चित्र 2] POC - Vuln Injection / संपूर्ण प्रदूषण सेटिंग सामग्री

  

  [चित्र 3] lightning/api/core/api.py / कमजोर हेडर जांच लॉजिक भाग

  

  [चित्र 4] lightning/api/core/app.py / सेटिंग अनुभाग

  

  [चित्र 5] lightning/api/core/app.py / सेटिंग सहेजने का अनुभाग