ZenML < 0.57.1 DoS (CVE-2024-4460)

medium Nessus Plugin ID 213485

語言:

概要

遠端主機受到一個弱點影響。

說明

遠端主機上安裝的 ZenML 版本比 0.57.1舊。因此會受到 zenml-io/zenml 版中一個拒絕服務 (DoS) 弱點的影響這是因為不當處理元件名稱中的換行 (`\n`) 字元所導致。低權限使用者透過 API 端點 `api/v1/workspaces/default/components` 新增名稱中含有 `\n` 字元的元件時會導致不受控制的資源消耗。此弱點會導致使用者無法在特定類別 (例如「Image Builder」) 中新增元件以及透過 UI 註冊新堆疊因而降低使用者體驗且可能使 ZenML Dashboard 無法使用。此問題不會影響透過 Web UI 進行的元件新增因為 `\n` 字元會在該內容中正確逸出。此弱點是在執行於 Docker 之 ZenML 上測試的結果同時出現在 Firefox 和 Chrome 瀏覽器中。專案維護者對 NVD 曝險提出爭議並聲稱這只是一個 QA 錯誤。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。