偵測

BentoML 1.x < 1.4.8 任意程式碼執行

critical Nessus Plugin ID 235353

語言:

概要

遠端主機上安裝的 BentoML 程式庫受到程式碼插入弱點影響。

說明

遠端主機上安裝的 BentoML 程式庫版本具有任意程式碼執行弱點。BentoML 是一個 Python 程式庫，用於構建針對 AI 應用程式和模型推論最佳化的線上服務系統。1.4.8 之前的版本中，BentoML 的執行器伺服器中有一個不安全的還原序列化情形。透過在 POST 要求中設定特定標頭和參數，有可能在伺服器上執行任何未經授權的任意程式碼，如此將授予攻擊者在伺服器上擁有初始存取和資訊洩漏權限。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

此弱點目前尚未修正。手動修正程式碼，或監控修正的新版本。

另請參閱

https://zeropath.com/blog/critical-rce-bentoml-cve-2025-32375

http://www.nessus.org/u?dbbeef33

Plugin 詳細資訊

嚴重性: Critical

ID: 235353

檔案名稱: bentoml_1_4_8.nasl

版本: 1.1

類型: local

代理程式: windows, macosx, unix

已發布: 2025/5/6

已更新: 2025/5/6

組態: 啟用徹底檢查 (optional)

支援的感應器: Nessus Agent, Nessus

風險資訊

VPR

風險因素: High

分數: 8.4

CVSS v2

風險因素: Critical

基本分數: 10

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 評分資料來源: CVE-2025-32375

CVSS v3

風險因素: Critical

基本分數: 9.8

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

弱點資訊

CPE: cpe:/a:bentoml:bentoml

必要的 KB 項目: installed_sw/BentoML

修補程式發佈日期: 2025/4/9

弱點發布日期: 2025/4/9

參考資訊

CVE: CVE-2025-32375

CWE: 502