Reveladas falhas em pacote Python
21 de Maio de 2024

Uma falha crítica de segurança foi divulgada no pacote llama_cpp_python do Python, que pode ser explorada por atores de ameaças para alcançar execução de código arbitrário.

Rastreada como CVE-2024-34359 (pontuação CVSS: 9.7), a falha recebeu o apelido de Llama Drama pela empresa de segurança da cadeia de suprimentos de software, Checkmarx.

"Se explorada, ela poderia permitir que atacantes executem código arbitrário no seu sistema, comprometendo dados e operações", disse o pesquisador de segurança Guy Nachshon.

llama_cpp_python, um binding de Python para a biblioteca llama.cpp, é um pacote popular com mais de 3 milhões de downloads até o momento, permitindo que desenvolvedores integrem modelos de IA com Python.

O pesquisador de segurança Patrick Peng (retr0reg) foi creditado pela descoberta e relatório da falha, que foi abordada na versão 0.2.72.

O problema central decorre do mau uso do motor de templates Jinja2 dentro do pacote llama_cpp_python, permitindo a injeção de template do lado do servidor que leva à execução de código remoto por meio de uma payload especialmente projetada.

"A exploração desta vulnerabilidade pode levar a ações não autorizadas por atacantes, incluindo roubo de dados, comprometimento do sistema e interrupção das operações", disse a Checkmarx.

A descoberta do CVE-2024-34359 serve como um lembrete marcante das vulnerabilidades que podem surgir na confluência entre IA e segurança da cadeia de suprimentos.

Ela destaca a necessidade de práticas de segurança vigilantes ao longo do ciclo de vida dos sistemas de IA e seus componentes.

Falha de Execução de Código no PDF.js
Essa descoberta ocorre após a identificação de uma falha de alta severidade na biblioteca JavaScript PDF.js da Mozilla ( CVE-2024-4367 ) que poderia permitir a execução de código arbitrário.

"Faltava uma verificação de tipo ao tratar fontes no PDF.js, o que permitiria a execução de JavaScript arbitrário no contexto do PDF.js", disse a Mozilla em um comunicado.

A Codean Labs, que caracterizou a falha como um "descuido em uma parte específica do código de renderização de fontes", disse que permite a um atacante executar código JavaScript assim que um documento PDF contendo malware é aberto no navegador Firefox.

O problema foi resolvido no Firefox 126, Firefox ESR 115.11 e Thunderbird 115.11, lançados na última semana.

Também foi resolvido no módulo npm pdfjs-dist na versão 4.2.67, lançada em 29 de abril de 2024.

"A maioria das bibliotecas encapsuladoras como react-pdf também lançou versões corrigidas", disse o pesquisador de segurança Thomas Rinsma.

"Como algumas bibliotecas relacionadas a PDF de nível superior incorporam estaticamente o PDF.js, recomendamos verificar recursivamente sua pasta node_modules por arquivos chamados pdf.js para ter certeza," finaliza o pesquisador.

Publicidade

Já viu o Cyberpunk Guide?

Imagine voltar ao tempo dos e-zines e poder desfrutar de uma boa revista contendo as últimas novidades, mas na pegada hacking old school.
Acesse gratuitamente o Cyberpunk Guide e fique por dentro dos mais modernos dispositivos usados pelos hackers. Saiba mais...