PYSEC-2024-154
PYSEC-2024-154 · A number of releases of ultralytics contained malicious crypto miner software.
CVSS 8.7 · Высокий · Есть исправление
Затронуты ли вы?
- ultralytics PyPIОбновитесь до 8.3.47
Как узнать установленную версию:
pip show ultralyticsБесплатная проверка подсветит, требует ли внимания ultralytics и остальные зависимости: проверьте lock-файл проекта или весь сервер командой ниже. Без регистрации. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.
curl -fsSL https://ru.patchfirst.dev/check.sh | shЗдесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Ultralytics has identified a supply chain attack affecting affecting multiple versions of the ultralytics package. The compromised versions contained unauthorized code that downloaded and executed cryptocurrency mining software when instantiating YOLO models. This code was injected into the PyPI release artifacts and was not present in the public GitHub repository.
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
ultralytics PyPI
- Версии
- 8.3.41
- 8.3.42
- 8.3.43
- 8.3.44
- 8.3.45
- 8.3.46
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 8.3.41, < 8.3.47
Обновитесь до 8.3.47
Первоисточники
- https://inspector.pypi.io/project/ultralytics/8.3.41/packages/d0/99/13d92174aa6a470d348a95e31164769f2cdf77838ea3c3e3fd476285777d/ultralytics-8.3.41-py3-none-any.whl/ultralytics/utils/downloads.py#line.284
- https://github.com/ultralytics/ultralytics/pull/18020#issuecomment-2525180194
- https://github.com/ultralytics/ultralytics/issues/18027
- https://github.com/ultralytics/ultralytics/pull/18052
- https://github.com/ultralytics/ultralytics/pull/18111
- https://github.com/ultralytics/ultralytics/releases/tag/v8.3.48
- https://blog.yossarian.net/2024/12/06/zizmor-ultralytics-injection
- https://osv.dev/vulnerability/PYSEC-2024-154