paddlepaddle/paddle 命令注入漏洞复现_$1500 CVE-2024-0934

目录

1.漏洞概述

2.影响版本

3.漏洞等级

4.漏洞复现

4.1 安装漏洞环境

4.2 POC

5.漏洞修复

漏洞复现：

代码审计与工具开发：

1.漏洞概述

        PaddlePaddle作为国内首个自主研发深度学习平台，自2016年起正式向专业社区开放。它是一个具有先进技术和丰富功能的工业平台，涵盖核心深度学习框架、基本模型库、端到端开发套件、工具和组件以及服务平台。PaddlePaddle 起源于工业实践，致力于工业化。它已被制造业、农业、企业服务等广泛领域采用，同时服务于超过 1070 万名开发人员、235,000 家公司并生成 860,000 个模型。凭借这些优势，PaddlePaddle 帮助越来越多的合作伙伴将 AI 商业化。

        paddlepaddle/paddle 的 prune_by_memory_estimation方法中存在 命令注入漏洞。攻击者可利用该漏洞执行任意命令执行。从而获取服务器权限。

CVE：CVE -CVE