Inicio / Alerta Temprana / Vulnerabilidades / CVE-2021-41127

Vulnerabilidad en la funcionalidad de carga de un archivo "tar.gz" en Rasa (CVE-2021-41127)

Tipo: 
Limitación incorrecta de nombre de ruta relativa a un directorio restringido (Relative Path Traversal)
Gravedad: 
Media
Fecha publicación : 
21/10/2021
Última modificación: 
27/10/2021
Descripción
Rasa es un marco de aprendizaje automático de código abierto para automatizar conversaciones basadas en texto y voz. En las versiones afectadas se presenta una vulnerabilidad en la funcionalidad que carga un archivo "tar.gz" de modelo entrenado que permite a un actor malicioso diseñar un archivo "model.tar.gz" que puede sobrescribir o reemplazar los archivos del bot en el directorio del bot. La vulnerabilidad es corregida en Rasa versión 2.8.10. Para usuarios que no puedan actualizar, asegúrese de que los usuarios no suban archivos de modelo no confiables, y restrinja el acceso a la CLI o al endpoint de la API donde un actor malicioso podría apuntar a una instancia de Rasa desplegada
Impacto
Vector de acceso: A través de red
Complejidad de Acceso: Media
Autenticación: No requerida para explotarla
Tipo de impacto: Afecta parcialmente a la integridad del sistema + No hay impacto en la confidencialidad del sistema + Afecta parcialmente a la disponibilidad del sistema
Productos y versiones vulnerables
  • cpe:2.3:a:rasa:rasa:*:*:*:*:*:*:*:*
Para consultar la lista completa de productos y versiones ver esta página
Explicación de los campos