遠端主機上安裝的 BentoML 程式庫版本具有任意程式碼執行弱點。BentoML 是一個 Python 程式庫，用於構建針對 AI 應用程式和模型推論最佳化的線上服務系統。1.4.8 之前的版本中，BentoML 的執行器伺服器中有一個不安全的還原序列化情形。透過在 POST 要求中設定特定標頭和參數，有可能在伺服器上執行任何未經授權的任意程式碼，如此將授予攻擊者在伺服器上擁有初始存取和資訊洩漏權限。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

BentoML 1.x < 1.4.8 任意程式碼執行

critical Nessus Plugin ID 235353

版本 1.1