CVE-2024-5452

总结

lightning-ai/pytorch-lightning 库 2.2.1 版本中存在一个远程代码执行（RCE）漏洞，原因是该库对反序列化的用户输入处理不当，且 `deepdiff` 库对 dunder 属性的管理存在缺陷。该库使用 `deepdiff.Delta` 对象根据前端操作修改应用程序状态。然而，攻击者可以绕过对修改 dunder 属性的预期限制，从而构造一个能够通过反序列化器白名单且包含 dunder 属性的序列化 delta。在处理该 delta 时，攻击者可利用此漏洞访问其他模块、类和实例，进而实现任意属性写入，并在默认配置下对任何自托管的 pytorch-lightning 应用程序实现完全远程代码执行，因为 delta 端点默认是启用的。

• CVE-2024-5452PoC

  关于CVE-2024-5452的详细技术分析，这是PyTorch Lightning中通过DeepDiff delta属性污染导致的远程代码执行漏洞，包含概念验证和缓解指南。