CVE-2023-5197: ReDoS Vulnerability in Hugging Face Transformers

重要情報 脆弱性概要 脆弱性名称: Huggingface/transformersにおける正規表現拒否サービス（ReDoS） CVE番号: CVE-2023-5197 脆弱性タイプ: CWE 1333: 非効率な正規表現の複雑さ 深刻度: Medium (6.5) 影響を受けるコンポーネント 関数：TensorFlowのウェイト名をPyTorch形式に変換するために使用されます。 技術的詳細 影響を受けるコンポーネント: 関数。 脆弱性タイプ: 正規表現拒否サービス（ReDoS）。 攻撃ベクトル: モデル変換時に、繰り返しパターンを含むウェイト名により壊滅的なバックトラック（Catastrophic Backtracking）を引き起こす。 再現手順 1. 依存関係のインストール: 2. 以下のコードを実行: 影響 モデル変換サービスの中断: サービスが応答しなくなったり、モデル変換パイプラインがブロックされたりする可能性があります。 本番環境でのリソース枯渇: CPU使用率の急増、共有環境における複数ユーザーへの影響、処理キューの遅延発生。 APIサービスの脆弱性: REST APIを通じて公開されているモデル変換機能が標的にされ、悪意のあるモデルファイルを使用して脆弱性をトリガーできる可能性があります。 開発への影響: ローカル開発環境、IDE、またはノートブック環境がモデル変換中に影響を受ける可能性があります。 参考文献 類似レポート #3 類似レポート #1 類似レポート #2 状態 状態: 修正済み 公開日: 2023年8月6日 発見者: Arjun Shibu

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2023-5197: ReDoS Vulnerability in Hugging Face Transformers

目標達成すべての支援者に感謝 — 100%達成しました！