Podatności Stanza

W bibliotece Stanza (Stanford NLP dla Pythona) w wersjach od 1.14.0 do 1.15.0 załadowanie dostarczonego przez atakującego checkpointu lematyzatora może wykonać dowolny kod. Plik stanza/models/lemma/trainer.py przechowuje pos_dict jako skompresowane gzipem bajty pickle, a Trainer.load przekazuje zdekompresowany strumień do nieograniczonego pickle.loads. Ścieżka jest osiągalna podczas budowy potoku przez kontrolowany przez wywołującego parametr lemma_model_path, przed rozpoczęciem wnioskowania.

Stanza to biblioteka NLP w Pythonie do tokenizacji, segmentacji zdań, NER i parsowania wielu języków. W wersjach przed 1.14.0 funkcja stanza.resources.common.unzip przekazuje pobrane archiwa do zipfile.ZipFile.extractall bez walidacji ścieżek elementów, co pozwala złośliwemu archiwum z wpisami przechodzenia do katalogu nadrzędnego zapisywać pliki poza docelowym katalogiem modeli i potencjalnie umożliwić wykonanie kodu. Problem naprawiono w wersji 1.14.0.

Podatność w bibliotece Stanza NLP umożliwia wykonanie dowolnego kodu przez złośliwy plik modelu .pt. Mechanizm ładowania modeli próbuje najpierw bezpiecznego torch.load z weights_only=True, ale w przypadku błędu pickle.UnpicklingError wywołanego przez atakującego przełącza się na niebezpieczny tryb weights_only=False, co pozwala na wykonanie dowolnego kodu podczas wczytywania modelu.