Rasa یک چارچوب متن‌باز یادگیری ماشین برای طراحی و پیاده‌سازی چت‌بات‌های هوشمند است. اخیراً آسیب‌پذیری با شناسه CVE-2024-49375 و شدت 9 در Rasa شناسایی شده است. این آسیب‌پذیری به مهاجمان اجازه می‌دهد از راه دور کد دلخواه خود را در یک نمونه Rasa اجرا کنند.
جزئیات آسیب‌پذیری
این آسیب‌پذیری زمانی رخ می‌دهد که یک مهاجم بتواند یک مدل مخرب را به‌صورت از راه دور در نمونه Rasa بارگذاری کند. این نقص به دلیل عدم کنترل مناسب روی ورودی‌های مدل رخ می‌دهد و می‌تواند به اجرای کد از راه دور و در نتیجه دسترسی غیرمجاز به سیستم منجر شود.
شرایط بهره‌برداری از آسیب‌پذیری:
- فعال بودن API HTTP: نمونه Rasa با گزینه‌ی --enable-api اجرا شده باشد. این گزینه به‌صورت پیش‌فرض غیرفعال است.
- دسترسی احراز هویت‌شده: مهاجم باید یک توکن معتبر یا JWT برای تعامل با API Rasa داشته باشد.
بردار CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H نشان می‌دهد که آسیب‌پذیری از طریق شبکه قابل بهره‌برداری است و برای استفاده از آن نیاز به شرایط ویژه‌ای دارد که پیچیدگی آن را افزایش می‌دهد. با این حال، مهاجم برای بهره‌برداری نیازی به دسترسی اولیه ندارد. این آسیب‌پذیری می‌تواند منجر به افشای اطلاعات حساس، اختلال در سامانه یا حتی از کار افتادن آن شود.
نسخه‌های تحت تأثیر
تمام نسخه‌های Rasa قبل از نسخه‌ی 3.6.21 تحت تأثیر این آسیب‌پذیری قرار دارند.
توصیه‌های امنیتی
- به‌روزرسانی Rasa به نسخه 3.6.21 یا نسخه‌های بالاتر.
- تنظیم احراز هویت API با مکانیزم مناسب توکن یا JWT.
- توجه به توصیه‌های امنیتی موجود در مستندات رسمی Rasa در https://rasa.com.
منابع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2024-49375
- 19