ZenML < 0.57.1 DoS (CVE-2024-4460)

medium Nessus 插件 ID 213485

语言：

简介

远程主机受到漏洞影响。

描述

远程主机上安装的 ZenML 版本低于 0.57.1。因此受到 zenml-io/zenml 版本中存在的一个拒绝服务 (DoS) 漏洞影响造成此漏洞的原因是未正确处理组件名称中的换行 (`\n`) 字符。当低权限用户通过 API 端点“api/v1/workspaces/default/components”添加名称中包含“\n”字符的组件时会导致不受控制的资源消耗。此漏洞会导致用户无法通过 UI 在某些类别如“Image Builder”中添加新组件及注册新堆栈从而降低用户体验并可能呈现 ZenML Dashboard 不可用。此问题不影响通过 Web UI 添加组件因为 `\n` 字符在该上下文中已正确转义。已在 Docker 中运行的 ZenML 上测试漏洞并在 Firefox 和 Chrome 浏览器中发现此漏洞。项目维护者对 NVD 的泄露提出争议并声称这只是一个 QA 缺陷。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。