Java向け機械学習ライブラリに深刻な脆弱性 - 5月のアップデートで修正

機械学習モデルの開発や実装などが行えるJava向けライブラリ「Deep Java Library（DJL）」に深刻な脆弱性が明らかとなった。

「同0.27.0」および以前のバージョンに含まれるアーカイブ抽出ユーティリティに脆弱性「CVE-2024-37902」が明らかとなったもの。アーカイブされたデータによってシステムファイルを上書きされるおそれがあるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値である「10.0」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同ライブラリを開発するAmazon Web Servicesでは、同脆弱性を認識しており、現地時間5月15日にリリースした「同0.28.0」にて修正を行ったと説明。

同バージョン以降にアップデートするよう求めている。あわせてパッチが適用されたコンテナが提供されている。

（Security NEXT - 2024/06/18 ）ツイート