Vulnerabilidad en Latex English (CVE-2024-11039)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

20/03/2025

Última modificación:

20/03/2025

Descripción

Existe una vulnerabilidad de deserialización de pickle en la función del complemento de corrección de errores de Latex English de las versiones binary-husky/gpt_academic hasta la 3.83 incluida. Esta vulnerabilidad permite a los atacantes ejecutar comandos de forma remota deserializando datos no confiables. El problema surge de la inclusión de numpy en la lista blanca de deserialización, que puede explotarse mediante la creación de un paquete comprimido malicioso que contenga los archivos merge_result.pkl y merge_proofread_en.tex. La vulnerabilidad está corregida en el commit 91f5e6b.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.80

Gravedad 3.x

ALTA

Vulnerabilidad en Latex English (CVE-2024-11039)

Descripción

Impacto

Referencias a soluciones, herramientas e información