DeepJavaLibrary API absolute path traversal

NGHIÊM TRỌNG 10.0CVE-2024-37902 · GHSA-w877-jfw7-46rj · Công bố 17/06/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-37902 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 10.0) ảnh hưởng ai.djl:api.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.78%, cao hơn 56.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.28.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
ai.djl:api Maven	`≥ 0.1.0, < 0.28.0`	`0.28.0`

Mô tả

Summary

DeepJavaLibrary(DJL) versions 0.1.0 through 0.27.0 do not prevent absolute path archived artifacts from inserting archived files directly into the system, overwriting system files. This is fixed in DJL 0.28.0 and patched in DJL Large Model Inference containers 0.27.0.

Impacted versions: 0.1.0 through 0.27.0

Patches

Patched Deep Learning Containers: v1.1-djl-0.27.0-inf-cpu-full v1.4-djl-0.27.0-inf-ds-0.12.6 v1.4-djl-0.27.0-inf-trt-0.8.0 v1.3-djl-0.27.0-inf-neuronx-sdk2.18.1

Patched Library: v0.28.0

Mô tả của NVD

DeepJavaLibrary(DJL) is an Engine-Agnostic Deep Learning Framework in Java. DJL versions 0.1.0 through 0.27.0 do not prevent absolute path archived artifacts from inserting archived files directly into the system, overwriting system files. This is fixed in DJL 0.28.0 and patched in DJL Large Model Inference containers version 0.27.0. Users are advised to upgrade.