LangChain pickle deserialization of untrusted data

高 7.8CVE-2024-5998 · GHSA-f2jm-rw3h-6phg · PYSEC-2024-323 · 17/09/2024 公開 · 17/06/2026 更新

要点

CVE-2024-5998 は langchain, langchain-community, langchain (langchain) に影響する深刻度「高」 (CVSS 7.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.36%（全脆弱性の 29.9% より高い）。
対処：0.2.9, 0.2.4 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
langchain PyPI	`< 0.2.9`	`0.2.9`
langchain-community PyPI	`< 0.2.4`	`0.2.4`
langchain langchain	`< 0.2.9`	`0.2.9`

概要

A vulnerability in the FAISS.deserialize_from_bytes function of langchain-ai/langchain allows for pickle deserialization of untrusted data. This can lead to the execution of arbitrary commands via the os.system function. The issue affects versions prior to 0.2.4.

NVD の説明

A vulnerability in the FAISS.deserialize_from_bytes function of langchain-ai/langchain allows for pickle deserialization of untrusted data. This can lead to the execution of arbitrary commands via the os.system function. The issue affects the latest version of the product.