Ultralytics に遠隔からコードを実行される脆弱性、悪用の確認はなし
Summary
Ultralyticsの torch_load 関数に、信頼できないデータを安全でない形で読み込む（デシリアライズ）脆弱性が見つかりました。攻撃者は悪意あるページを開かせたり、悪意あるファイルを開かせたりすることで、利用者の権限でコードを実行できるおそれがあります。CVSSは7.8（高）です。修正版の情報は公表されていないため、最新の情報を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Ultralyticsの torch_load 関数に、信頼できないデータを安全でない形で読み込む（デシリアライズ）脆弱性が見つかりました。攻撃者は悪意あるページを開かせたり、悪意あるファイルを開かせたりすることで、利用者の権限でコードを実行できるおそれがあります。CVSSは7.8（高）です。修正版の情報は公表されていないため、最新の情報を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Ultralytics | Ultralytics | — | — |
Original description The description as published by the source.
Ultralytics torch_load Deserialization of Untrusted Data Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Ultralytics. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file.
The specific flaw exists within the torch_load function. The issue results from the lack of proper validation of user-supplied data, which can result in deserialization of untrusted data. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-29652.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web zdi-disclosures@trendmicro.com
- web nvd.nist.gov
- web zerodayinitiative.com
- web github.com