Injecció de comandaments Python a imartinez/privategpt
18/11/2024
CVE-2024-4343
CRÍTIC (9,8)
CVSS3: 0,0
Hi ha una vulnerabilitat d’injecció d’ordres de Python al mètode ‘complete()’ de la classe ‘SagemakerLLM’ dins de ‘./private_gpt/components/llm/custom/sagemaker.py’ de l’aplicació imartinez/privategpt, versions fins a la 0.3.0 inclosa. La vulnerabilitat sorgeix a causa de l’ús de la funció ‘eval()’ per analitzar una cadena rebuda d’un punt final remot d’AWS SageMaker LLM en un diccionari. Aquest mètode d’anàlisi no és segur, ja que pot executar codi Python arbitrari contingut a la resposta. Un atacant pot explotar aquesta vulnerabilitat manipulant la resposta del punt final d’AWS SageMaker LLM per incloure codi Python maliciós, la qual cosa condueix a l’execució potencial d’ordres arbitràries al sistema que allotja l’aplicació. El problema s’ha solucionat a la versió 0.6.0.
Sistemes Afectats
- imartinez imartinez/privategpt – unspecified
Remediació
No hi ha cap recurs disponible a partir del 14 de novembre del 2024.
25
