CVE-2026-79785 in X-AnyLabeling
Riassunto
di VulDB • 25/08/2026
Il downloader di modelli di X-AnyLabeling disabilita la verifica dei certificati TLS. La funzione `download_with_retry` in `anylabeling/services/auto_labeling/model.py` crea un contesto con `ssl._create_unverified_context()` e lo passa a `urllib.request.urlopen`, quindi né la catena dei certificati né il nome host vengono verificati durante alcun download di modelli, e i modelli vengono recuperati tramite HTTPS dall'host delle release del progetto. Qualsiasi parte in posizione di intercettare tale connessione potrebbe pertanto rispondere con contenuti scelti arbitrariamente. La risposta viene scritta in un file `.part` e spostata nella posizione corretta mediante `os.replace`, e l'unica verifica post-download, `safe_check_model`, valida il formato del file piuttosto che la sua provenienza: non vengono confrontati hash o firme con valori attesi. Per un target ONNX, il file sostituito supera `onnx.checker.check_model` e viene quindi utilizzato per l'inferenza, consentendo all'attaccante di scegliere il modello che produce le annotazioni dell'applicazione. Per i target `.pth` o `.pt`, utilizzati dalle configurazioni SAM2 video, YOLOE, UPN e open_vision fornite con il software, la funzione di controllo chiama `torch.load` senza l'opzione `weights_only`; pertanto un file sostituito viene deserializzato (unpickled) ed esegue codice scelto dall'attaccante sulle versioni di PyTorch precedenti all'impostazione predefinita di `weights_only`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.