Podatności BentoML

BentoML do wersji 1.4.39 zawiera podatność wstrzyknięcia instrukcji Dockerfile, umożliwiającą dodanie dowolnych instrukcji budowania poprzez osadzenie znaków nowej linii w kluczach mapowania docker.env renderowanych przez szablon base.j2. Złośliwy plik bentofile.yaml lub importowany archiwum bento może spowodować wykonanie wstrzykniętych instrukcji RUN podczas docker build.

W BentoML zabezpieczenie połączeń wychodzących (make_safe_connect w _internal/utils/uri.py) blokuje adresy prywatne, pętlowe i link-local, ale nie odrzuca przestrzeni adresowej RFC 6598 (100.64.0.0/10, CGNAT). W wersjach 1.4.19 do 1.4.39 nieuwierzytelniony atakujący może podać URL wskazujący na ten zakres przez obsługę plików multipart (MultipartSerde.ensure_file) lub parsowanie żądań JSON (JSONSerde.parse_request), powodując, że serwer wykonuje żądania wychodzące do wewnętrznych hostów w sieciach CGNAT (Server-Side Request Forgery). Jest to niekompletna poprawka dla CVE-2025-54381.

W BentoML w wersjach 1.4.38 i wcześniejszych, proces budowania pakietu podąża za dowiązaniami symbolicznymi kontrolowanymi przez atakującego w kontekście budowania i kopiuje zawartość wskazanych plików do generowanego artefaktu Bento. Jeśli ofiara buduje niezaufane repozytorium, atakujący może umieścić dowiązanie symboliczne wskazujące na poufny plik lokalny, który zostanie włączony do artefaktu.