CVE-2024-5452

概要

lightning-ai/pytorch-lightning ライブラリのバージョン 2.2.1 には、逆シリアル化されたユーザー入力の不適切な処理と、`deepdiff` ライブラリによる dunder 属性の管理ミスに起因する、リモートコード実行（RCE）の脆弱性が存在します。このライブラリは、フロントエンドの操作に基づいてアプリケーションの状態を変更するために `deepdiff.Delta` オブジェクトを使用します。しかし、dunder 属性の変更に対する意図された制限を回避することが可能であり、攻撃者は逆シリアル化ホワイトリストを通過し、dunder 属性を含むシリアル化されたデルタを構築できます。処理されると、これを悪用して他のモジュール、クラス、インスタンスにアクセスでき、任意の属性書き込みと、デフォルト設定の自己ホスト型 pytorch-lightning アプリケーション（デルタエンドポイントがデフォルトで有効）に対する完全な RCE につながる可能性があります。

• CVE-2024-5452PoC

  CVE-2024-5452の詳細な技術分析。PyTorch LightningにおけるDeepDiffデルタプロパティ汚染を介したリモートコード実行の脆弱性であり、概念実証と緩和策のガイダンスを含む。