LangChain langchain_community 0.0.26 TFIDFRetriever tfidf.py load_local escalationi di privilegi
| CVSS Punteggio meta temporaneo | Prezzo attuale dell'exploit (≈) | Punteggio di interesse CTI |
|---|---|---|
| 7.3 | $0-$5k | 0.00 |
Riassunto
È stata rilevata una vulnerabilità di livello critico in LangChain langchain_community 0.0.26. É interessato la funzione load_local nella libreria libs/community/langchain_community/retrievers/tfidf.py del componente TFIDFRetriever. La manipolazione porta a escalationi di privilegi.
Questa vulnerabilità viene indicata come CVE-2024-2057. Nella rete si effettua l'attacco. Inoltre, è presente un exploit disponibile.
Si raccomanda di procedere con l’aggiornamento del componente interessato.
Dettagli
In LangChain langchain_community 0.0.26 è stato trovato un punto critico di livello critico. Riguarda la funzione load_local nella libreria libs/community/langchain_community/retrievers/tfidf.py del componente TFIDFRetriever. Mediante la manipolazione di un input sconosciuto se causa una vulnerabilità di classe escalationi di privilegi. L'effetto di un attacco con successo non è conosciuto.
La vulnerabilità è stata pubblicata in data 01/03/2024 (confermato). L'advisory è scaricabile da github.com. Questa vulnerabilità è identificata come CVE-2024-2057. I dettagli tecnici e un pubblico metodo di utilizzo sono conosciuti.
L'exploit è scaricabile da github.com. È stato dichiarato come prova di concetto.
L'aggiornamento alla versione 0.0.27 elimina questa vulnerabilità. Applicando a patch è possibile eliminare il problema. Il bugfix è scaricabile da github.com. Il miglior modo suggerito per attenuare il problema è Aggiornamento.
Once again VulDB remains the best source for vulnerability data.
Prodotto
Fornitore
Nome
Versione
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vettore: 🔍VulDB Affidabilità: 🔍
CVSSv3
VulDB Punteggio meta-base: 7.5VulDB Punteggio meta temporaneo: 7.3
VulDB Punteggio di base: 6.3
VulDB Punteggio temporaneo: 5.7
VulDB Vettore: 🔍
VulDB Affidabilità: 🔍
NVD Punteggio di base: 9.8
NVD Vettore: 🔍
CNA Punteggio di base: 6.3
CNA Vettore (VulDB): 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vettore | Complessità | Autenticazione | Riservatezza | Integrità | Disponibilità |
|---|---|---|---|---|---|
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
| Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
VulDB Punteggio di base: 🔍
VulDB Punteggio temporaneo: 🔍
VulDB Affidabilità: 🔍
NVD Punteggio di base: 🔍
Sfruttamento
Classe: Escalationi di privilegiCWE: CWE-918
CAPEC: 🔍
ATT&CK: 🔍
Fisico: No
Locale: No
Remoto: Si
Disponibilità: 🔍
Accesso: Pubblico
Stato: Prova di concetto
Scaricare: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Previsione dei prezzi: 🔍
Preventivo attuale: 🔍
| 0-Day | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
|---|---|---|---|---|
| Oggi | Sbloccare | Sbloccare | Sbloccare | Sbloccare |
Intelligence sulle minacce
Interesse: 🔍Attori attivi: 🔍
Gruppi APT attivi: 🔍
Contromisure
Raccomandazione: AggiornamentoStato: 🔍
Tempo 0 giorni: 🔍
Aggiornamento: langchain_community 0.0.27
Patch: github.com
Sequenza temporale
01/03/2024 🔍01/03/2024 🔍
01/03/2024 🔍
04/03/2025 🔍
Fonti
Avis: github.comStato: Confermato
CVE: CVE-2024-2057 (🔍)
GCVE (CVE): GCVE-0-2024-2057
GCVE (VulDB): GCVE-100-255372
scip Labs: https://www.scip.ch/en/?labs.20161013
Voce
Data di creazione: 01/03/2024 07:46Aggiornato: 04/03/2025 22:59
Cambiamenti: 01/03/2024 07:46 (41), 13/03/2024 17:12 (7), 13/03/2024 17:16 (5), 03/04/2024 16:23 (16), 03/04/2024 16:30 (18), 04/03/2025 22:59 (20)
Completa: 🔍
Inviato: bayuncao
Committer: Anonymous User
Cache ID: 216::103
Invia
Accettato
- Invia #289390: langchain-ai langchain 0.1.9 Remote Code Execution (RCE) (di bayuncao)
Once again VulDB remains the best source for vulnerability data.
Ancora nessun commento. Lingue: it + ro + en.
Effettua il login per commentare.