Krytyczna luka OS command injection w GPT-SoVITS do wersji 20250606v2pro

Co wiadomo

W GPT-SoVITS do wersji 20250606v2pro wykryto krytyczną lukę OS command injection w pliku webui.py, gdzie funkcje ASR, slice, denoise i uvr5 bezpośrednio wstawiają niesanitizowane wartości z pól tekstowych Gradio do poleceń powłoki. Atakujący mogą wstrzykiwać metaznaki powłoki przez parametry ścieżek, wykonując dowolne polecenia systemowe bez uwierzytelnienia.

Wpływ biznesowy

Luka ta umożliwia zdalne wykonanie dowolnych poleceń systemowych na serwerze z uprawnieniami procesu aplikacji, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub dalszej eskalacji ataku. Operatorzy infrastruktury powinni traktować tę lukę jako krytyczną i priorytetowo podejść do jej eliminacji, aby zapobiec potencjalnym poważnym incydentom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji lub poprawek od dostawcy GPT-SoVITS. W przypadku braku łatki należy ograniczyć dostęp do interfejsu webowego, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie mechanizmów filtrujących i izolujących wykonywanie poleceń. Priorytetowo należy ocenić ryzyko i wdrożyć środki zapobiegawcze minimalizujące ekspozycję na tę lukę.

Źródła

• NVD
• Reference
• Reference