BDU:2024-04848

Опубликовано: 08 июн. 2024

Источник: fstec

CVSS3: 3.9

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость фреймворка создания конвейеров машинного обучения Zenml связана с неверным сроком действия сеанса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процесс аутентификации

Вендор

Zenml.io

Наименование ПО

Zenml

Версия ПО

0.56.3 (Zenml)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,9)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- внедрение средств для постоянного отслеживания сетевой активности в рамках установленных сеансов связи, осуществляемое администратором безопасности для выявления потенциальных угроз и аномалий;

- обеспечение возможности принудительного завершения установленных сеансов связи администратором безопасности при обнаружении подозрительной или аномальной активности для предотвращения возможных нарушений безопасности.

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-4680
CVE

EPSS

Процентиль: 22%

0.00073

Низкий

3.9 Low

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

CVE-2024-4680

CVSS3: 8.8

nvd

больше 1 года назад

A vulnerability in zenml-io/zenml version 0.56.3 allows attackers to reuse old session credentials or session IDs due to insufficient session expiration. Specifically, the session does not expire after a password change, enabling an attacker to maintain access to a compromised account without the victim's ability to revoke this access. This issue was observed in a self-hosted ZenML deployment via Docker, where after changing the password from one browser, the session remained active and usable in another browser without requiring re-authentication.

GHSA-99hm-86h7-gr3g