Më 27 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-6hp3-vr39-rqw8 (CVE-2026-48705) për një dobësi me rrezikshmëri kritike (CVSS 9.3) në paketën monai të ekosistemit PyPI.
Paketat e prekura
- monai (PyPI) — versionet e prekura:
< 1.6.1; versioni me rregullim:1.6.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.3)
- CWE: CWE-20 (Improper Input Validation)
- Identifikuesit: GHSA-6hp3-vr39-rqw8, CVE-2026-48705
Përmbledhja zyrtare
Rrëzim i serverit MONAILabel dhe korruptim i heshtur i rezultateve të inferencës përmes një skedari DICOM të manipuluar (anashkalim i validimit DS/IS në pydicom)
Një sulmues në distancë, pa autentikim, mund të rrëzojë një server MONAILabel në funksionim ose të korruptojë në heshtje rezultatet e inferencës së inteligjencës artificiale mjekësore. Sulmi realizohet duke ngarkuar përmes REST API një skedar të vetëm DICOM të manipuluar, me madhësi rreth 132 KB.
Dobësia buron nga mungesa e validimit në pydicom për përfaqësimet e vlerave DICOM Decimal String (DS) dhe Integer String (IS). Kjo lejon që vlerat NaN dhe ato të pafundësisë të kalojnë përmes PydicomReader të MONAI dhe të përhapen në të gjithë zinxhirin e transformimeve hapësinore dhe të inferencës së modeleve të mësimit makinerik.
Ndikimi i përshkruar përfshin si ndërprerjen e funksionimit të serverit, ashtu edhe cenimin e rezultateve të përpunimit mjekësor pa shenja të dukshme gabimi. Për kryerjen e sulmit të përshkruar nuk kërkohet autentikim.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin monai, përditësojeni sa më shpejt në versionin 1.6.1 ose më të ri.
