PaddlePaddle<2.6.0 存在命令注入漏洞(CVE-2023-52310)
CVE编号
CVE-2023-52310利用情况
暂无补丁情况
N/A披露时间
2024-01-03漏洞描述
PaddlePaddle（飞桨）是百度研发的深度学习平台。PaddlePaddle 中，Pass 表示对所有训练数据进行一次完整的前向和反向传播。 PaddlePaddle 2.6.0之前版本中由于 get_online_pass_interval 函数未对用户可控的 days 和 hours 参数进行过滤，当调用 get_online_pass_interval 函数对每个 Pass 生成数据分片列表时，攻击者可构造包含恶意的 days 或 hours 参数实现任意命令执行。解决建议
"将 paddlepaddle 升级至 2.6.0 及以上版本"
参考链接 |
|
|---|---|
| https://github.com/PaddlePaddle/Paddle/blob/develop/security/advisory/pdsa-20... |
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 已更改
- 用户交互 需要
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论