Атака ShellTorch использует уязвимости TorchServe и угрожает инфраструктуре крупных компаний

Несколько критических уязвимостей, получивших общее название ShellTorch, были обнаружены в опенсорсном инструменте TorchServe, который используется для обслуживания ИИ-моделей PyTorch. Исследователи заявили, что обнаружили в интернете десятки тысяч уязвимых серверов, некоторые из которых принадлежат крупным организациям.

TorchServe представляет собой популярный опенсорсный пакет для PyTorch, фреймворка машинного обучения, используемого для таких приложений, как компьютерное зрение и обработка естественного языка. В настоящее время PyTorch является частью Linux Foundation, но большой вклад в него внесли Meta* (его первоначальный разработчик) и AWS.

TorchServe используется организациями по всему миру, и его ежемесячно скачивают более 30 000 из PyPi и более 1 млн раз из DockerHub. На этот инструмент полагаются в основном те, кто занимается обучением и разработкой ИИ-моделей: от академических исследователей до крупных компаний, включая Amazon, OpenAI, Google, Intel, Microsoft, Tesla и Walmart.

Проблемы, обнаруженные в TorchServe исследовательской группой Oligo Security, могут привести к несанкционированному доступу к серверу, а также к удаленному выполнению произвольного кода (RCE).

Сообщается, что три уязвимости, носящие общее имя ShellTorch, затрагивают TorchServe версий с 0.3.0 по 0.8.1. Все эти проблемы уже устранены в версии 0.8.2, до которой теперь рекомендуется обновиться как можно скорее.

• Первая уязвимость (не имеет идентификатора CVE) связана с неправильной конфигурацией API-интерфейса управления, которая по умолчанию привязывает веб-панель к 0.0.0.0 вместо localhost, что делает его доступным для внешних запросов. Поскольку здесь также отсутствует аутентификация, это обеспечивает неограниченный доступ для всех желающих, что может использоваться для загрузки вредоносных моделей с внешних адресов.
• CVE-2023-43654 (9,8 балла по шкале CVSS) — SSRF-проблема, которая приводит к удаленному выполнению кода. Хотя в API TorchServe реализована логика определения списка разрешенных доменов для получения конфигурационных файлов моделей с удаленных URL-адресов, оказалось, что по умолчанию разрешены все домены, что приводит к SSRF-ошибке. Это позволяет злоумышленникам загружать вредоносные модели, которые при запуске на целевом сервере ведут к выполнению произвольного кода.
• CVE-2022-1471 (9,9 по шкале CVSS) представляет собой проблему десериализации Java, тоже приводящую к удаленному выполнению кода. Уязвимость связана с использованием небезопасной версии опенсорсной библиотеки SnakeYAML, которая допускает небезопасную десериализацию объектов Java. В итоге злоумышленники могут загрузить модель с вредоносным YAML-файлом, чтобы инициировать удаленное выполнение кода.

Отмечается, что исследователи Oligo не обнаруживали уязвимость в SnakeYAML, а лишь использовали ее в своей цепочке эксплоитов.

В итоге объединение всех описанных проблем позволяет без труда скомпрометировать систему с уязвимостей версией TorchServe. Демонстрацию ShellTorch-атаки можно увидеть ниже.

По словам представителей Oligo, аналитики компании провели сканирование интернета в поисках уязвимых систем и обнаружили десятки тысяч IP-адресов, которые уязвимы перед ShellTorch, причем многие из них принадлежат крупным международным организациям.

Как уже было сказано выше, для устранения уязвимостей пользователям необходимо обновить TorchServe до версии 0.8.2, выпущенной 28 августа 2023 года. После этого обновления на экран выводится предупреждение о SSRF-ошибке, что устраняет риски, связанные с CVE-2023-43654.

Также необходимо правильно настроить консоль управления, установив в файле config.properties значение management_address на http://127.0.0.1:8081. После этого TorchServe будет привязываться к localhost.

Помимо этого нужно убедиться, что сервер получает модели только с доверенных доменов, изменив значение allowed_urls в файле config.properties соответствующим образом.

Эксперты Oligo уже опубликовали бесплатный инструмент проверки, с помощью которого администраторы могут проверить, уязвимы ли их экземпляры к атакам ShellTorch.

Компании Amazon и Google уже выпустили собственные бюллетени безопасности, посвященные проблемам CVE-2023-43654 и CVE-2022-1471. Так, в сообщении Amazon содержатся рекомендации для клиентов, использующих контейнеры DLC (Deep Learning Containers) в EC2, EKS и ECS.

Представитель Meta*, в свою очередь, сообщили СМИ, что уязвимости в TorchServe были исправлены еще в августе текущего года, следовательно, цепочка эксплоитов, описанная в отчете экспертов Oligo, выглядит «спорной».

* Деятельность Meta Platforms признана экстремисткой и запрещена в России.

Источник: Хакер