CVE-2024-5452

01. Обзор RCE и pytorch-lightning

• 1) Обзор RCE и pytorch-lightning

  RCE (Remote Code Execution) — это уязвимость, позволяющая злоумышленнику удаленно выполнять произвольный код в системе или приложении, и относится к CWE-94: Improper Control of Generation of Code ('Code Injection').

  PyTorch Lightning — это библиотека, упрощающая управление обучением моделей глубокого обучения на основе PyTorch, а DeepDiff — библиотека для сравнения двух объектов Python и анализа различий.

  CVE-2024-5452 — это уязвимость, которая возникает при использовании DeepDiff и Lightning в веб-приложении Lightning для работы с весами моделей ИИ, из-за слабой проверки заголовков DeepDiff и загрязнения атрибутов дельты, что приводит к RCE при десериализации.

  Давайте рассмотрим поток кода, который приводит к уязвимости, позволяющей злоумышленнику внедрять произвольные объекты или выполнять удаленный код (RCE), и найдем меры противодействия.

02. Анализ уязвимости десериализации в среде pytorch-lightning

• 2.1 Анализ атаки с использованием загрязнения Delta в DeepDiff

  В pytorch-lightning можно атаковать, отправляя загрязненные атрибуты дельты в конечную точку /api/v1/delta среди точек DeepDiff веб-приложения.
  Рассмотрим пример, чтобы понять, как загрязнение dunder-атрибутов дельты вызывает уязвимость десериализации объектов.

  1) Поток атаки с использованием загрязнения Delta в DeepDiff

  Первый запрос: пример атаки клиента, настройка загрязнения -> слабая проверка заголовков в /api/v1/delta DeepDiff -> сохранение состояния через загрязнение.

  

  [Рисунок 1] POC - Атака на конечную точку

  

  [Рисунок 2] POC - Внедрение уязвимости / Содержимое полного загрязнения

  

  [Рисунок 3] lightning/api/core/api.py / Часть логики слабой проверки заголовков

  

  [Рисунок 4] lightning/api/core/app.py / Участок настройки

  

  [Рисунок 5] lightning/api/core/app.py / Участок сохранения настройки