search

canonical / kubeflow-rocks

Rocks for Kubeflow components
Apache License 2.0
0 stars 11 forks source link

Vulnerabilities found for jupyter-pytorch-full:1.8.0 #152

Open ckfbot opened 1 month ago

ckfbot commented 1 month ago

Vulnerabilities found for jupyter-pytorch-full:1.8.0


For OSS Maintainers: VEX Notice
--------------------------------
If you're an OSS maintainer and Trivy has detected vulnerabilities in your project that you believe are not actually exploitable, consider issuing a VEX (Vulnerability Exploitability eXchange) statement.
VEX allows you to communicate the actual status of vulnerabilities in your project, improving security transparency and reducing false positives for your users.
Learn more and start using VEX: https://aquasecurity.github.io/trivy/v0.56/docs/supply-chain/vex/repo#publishing-vex-documents

To disable this notice, set the TRIVY_DISABLE_VEX_NOTICE environment variable.

charmedkubeflow/jupyter-pytorch-full:1.8.0-5a3d6ea (ubuntu 20.04)
=================================================================
Total: 0 (HIGH: 0, CRITICAL: 0)

Python (python-pkg)
===================
Total: 36 (HIGH: 23, CRITICAL: 13)

┌───────────────────────┬─────────────────────┬──────────┬────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│        Library        │    Vulnerability    │ Severity │ Status │ Installed Version │ Fixed Version │                            Title                             │
├───────────────────────┼─────────────────────┼──────────┼────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ gunicorn (METADATA)   │ CVE-2024-1135       │ HIGH     │ fixed  │ 20.1.0            │ 22.0.0        │ python-gunicorn: HTTP Request Smuggling due to improper      │
│                       │                     │          │        │                   │               │ validation of Transfer-Encoding headers                      │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-1135                    │
├───────────────────────┼─────────────────────┤          │        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ jupyterlab (METADATA) │ CVE-2024-22421      │          │        │ 3.6.6             │ 4.0.11, 3.6.7 │ JupyterLab is an extensible environment for interactive and  │
│                       │                     │          │        │                   │               │ reproducib ...                                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-22421                   │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-43805      │          │        │                   │ 3.6.8, 4.2.5  │ jupyterlab is an extensible environment for interactive and  │
│                       │                     │          │        │                   │               │ reproducib ...                                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-43805                   │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
├───────────────────────┼─────────────────────┼──────────┤        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ mlflow (METADATA)     │ CVE-2023-1177       │ CRITICAL │        │ 2.1.1             │ 2.2.1         │ mlflow is vulnerable to remote file access in `mlflow        │
│                       │                     │          │        │                   │               │ server` and `mlflow...                                       │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-1177                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-2780       │          │        │                   │ 2.3.0         │ mlflow Path Traversal vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-2780                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-3765       │          │        │                   │ 2.5.0         │ MLflow Path Traversal vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-3765                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6014       │          │        │                   │ 2.8.0         │ MLflow authentication requirement bypass can allow a user to │
│                       │                     │          │        │                   │               │ arbitrarily create an...                                     │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6014                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6015       │          │        │                   │ 2.8.1         │ MLflow allowed arbitrary files to be PUT onto the server     │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6015                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6018       │          │        │                   │ 2.9.2         │ Remote Code Execution due to Full Controled File Write in    │
│                       │                     │          │        │                   │               │ mlflow                                                       │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6018                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6831       │          │        │                   │               │ Path traversal in MLflow                                     │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6831                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6974       │          │        │                   │               │ MLflow Server-Side Request Forgery (SSRF)                    │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6974                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6975       │          │        │                   │               │ MLFlow Path Traversal Vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6975                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-0520       │          │        │                   │ 2.9.0         │ Remote code execution in mlflow                              │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-0520                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-3573       │          │        │                   │ 2.10.0        │ mlflow vulnerable to Path Traversal                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-3573                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ GHSA-83fm-w79m-64r5 │          │        │                   │ 2.3.1         │ Remote file access vulnerability in `mlflow server` and      │
│                       │                     │          │        │                   │               │ `mlflow ui` CLIs                                             │
│                       │                     │          │        │                   │               │ https://github.com/advisories/GHSA-83fm-w79m-64r5            │
│                       ├─────────────────────┼──────────┤        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-2356       │ HIGH     │        │                   │               │ Relative path traversal in mlflow                            │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-2356                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-4033       │          │        │                   │ 2.6.0         │ mlflow vulnerable to OS Command Injection                    │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-4033                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-43472      │          │        │                   │ 2.9.0         │ Information exposure in MLflow                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-43472                   │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6709       │          │        │                   │ 2.9.2         │ Jinja2 template injection in mlflow                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6709                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6753       │          │        │                   │               │ Path traversal in MLflow                                     │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6753                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6909       │          │        │                   │               │ MLflow Path Traversal Vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6909                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6940       │          │        │                   │               │ mlflow Command Injection vulnerability                       │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6940                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6976       │          │        │                   │               │ MLflow Path Traversal Vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6976                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6977       │          │        │                   │               │ MLflow Local File Disclosure Vulnerability                   │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6977                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-1483       │          │        │                   │ 2.12.1        │ mlflow Path Traversal vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-1483                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-1558       │          │        │                   │               │ mlflow vulnerable to Path Traversal                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-1558                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-27132      │          │        │                   │ 2.10.0        │ Cross-site Scripting in MLFlow                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-27132                   │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-27133      │          │        │                   │               │ MLFlow Cross-site Scripting vulnerability leads to           │
│                       │                     │          │        │                   │               │ client-side Remote Code Execution                            │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-27133                   │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-2928       │          │        │                   │ 2.11.3        │ Local File Inclusion in mlflow                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-2928                    │
├───────────────────────┼─────────────────────┼──────────┤        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ pyarrow (METADATA)    │ CVE-2023-47248      │ CRITICAL │        │ 10.0.1            │ 14.0.1        │ PyArrow: Arbitrary code execution when loading a malicious   │
│                       │                     │          │        │                   │               │ data file                                                    │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-47248                   │
├───────────────────────┼─────────────────────┼──────────┤        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ torch (METADATA)      │ CVE-2024-31580      │ HIGH     │        │ 2.1.0+cpu         │ 2.2.0         │ PyTorch before v2.2.0 was discovered to contain a heap       │
│                       │                     │          │        │                   │               │ buffer overflow ......                                       │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-31580                   │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-31583      │          │        │                   │               │ Pytorch before version v2.2.0 was discovered to contain a    │
│                       │                     │          │        │                   │               │ use-after-fr ...                                             │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-31583                   │
├───────────────────────┼─────────────────────┤          │        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ tornado (METADATA)    │ CVE-2024-52804      │          │        │ 6.4               │ 6.4.2         │ Tornado is a Python web framework and asynchronous           │
│                       │                     │          │        │                   │               │ networking library. ...                                      │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-52804                   │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
└───────────────────────┴─────────────────────┴──────────┴────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘

usr/bin/kubectl (gobinary)
==========================
Total: 4 (HIGH: 3, CRITICAL: 1)

┌────────────────────────────────┬────────────────┬──────────┬────────┬─────────────────────┬─────────────────┬────────────────────────────────────────────────────────────┐
│            Library             │ Vulnerability  │ Severity │ Status │  Installed Version  │  Fixed Version  │                           Title                            │
├────────────────────────────────┼────────────────┼──────────┼────────┼─────────────────────┼─────────────────┼────────────────────────────────────────────────────────────┤
│ github.com/docker/distribution │ CVE-2023-2253  │ HIGH     │ fixed  │ v2.8.1+incompatible │ 2.8.2-beta.1    │ distribution/distribution: DoS from malicious API request  │
│                                │                │          │        │                     │                 │ https://avd.aquasec.com/nvd/cve-2023-2253                  │
├────────────────────────────────┼────────────────┼──────────┤        ├─────────────────────┼─────────────────┼────────────────────────────────────────────────────────────┤
│ stdlib                         │ CVE-2024-24790 │ CRITICAL │        │ 1.20.14             │ 1.21.11, 1.22.4 │ golang: net/netip: Unexpected behavior from Is methods for │
│                                │                │          │        │                     │                 │ IPv4-mapped IPv6 addresses                                 │
│                                │                │          │        │                     │                 │ https://avd.aquasec.com/nvd/cve-2024-24790                 │
│                                ├────────────────┼──────────┤        │                     ├─────────────────┼────────────────────────────────────────────────────────────┤
│                                │ CVE-2023-45288 │ HIGH     │        │                     │ 1.21.9, 1.22.2  │ golang: net/http, x/net/http2: unlimited number of         │
│                                │                │          │        │                     │                 │ CONTINUATION frames causes DoS                             │
│                                │                │          │        │                     │                 │ https://avd.aquasec.com/nvd/cve-2023-45288                 │
│                                ├────────────────┤          │        │                     ├─────────────────┼────────────────────────────────────────────────────────────┤
│                                │ CVE-2024-34156 │          │        │                     │ 1.22.7, 1.23.1  │ encoding/gob: golang: Calling Decoder.Decode on a message  │
│                                │                │          │        │                     │                 │ which contains deeply nested structures...                 │
│                                │                │          │        │                     │                 │ https://avd.aquasec.com/nvd/cve-2024-34156                 │
└────────────────────────────────┴────────────────┴──────────┴────────┴─────────────────────┴─────────────────┴────────────────────────────────────────────────────────────┘

/opt/conda/lib/python3.11/site-packages/google/auth/crypt/__pycache__/_python_rsa.cpython-311.pyc (secrets)
===========================================================================================================
Total: 2 (HIGH: 2, CRITICAL: 0)

HIGH: AsymmetricPrivateKey (private-key)
════════════════════════════════════════
Asymmetric Private Key
────────────────────────────────────────

HIGH: AsymmetricPrivateKey (private-key)
════════════════════════════════════════
Asymmetric Private Key
────────────────────────────────────────

Details: https://github.com/canonical/kubeflow-rocks/actions/runs/12000339516

syncronize-issues-to-jira[bot] commented 1 month ago

Thank you for reporting us your feedback!

The internal ticket has been created: https://warthogs.atlassian.net/browse/KF-6466.

This message was autogenerated