Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「PandasAI」にプロンプトインジェクションの脆弱性

CERT/CCは、データ解析ライブラリ「PandasAI」においてリモートよりコードの実行が可能となる脆弱性が明らかになったとして注意喚起を行った。

「PandasAI」は大規模言語モデル(LLM)を利用し、自然言語を解釈して「Python」や「SQL」のクエリを生成してデータ分析が行えるライブラリ。

同脆弱性は、「同2.4.3」および以前のバージョンに存在し、コードとデータを明確にわけて処理していないことに起因。細工したプロンプトを送信することで、悪意ある自然言語の入力を任意のコードへと変換し、制限をバイパスしてコードを実行させる脆弱性「CVE-2024-12366」が明らかになった。

NVIDIAの研究者が報告したもので、特定モジュールのインポート制限や保護機能から脱獄、許可リストの利用など、攻撃者が接続されたデータベースやサービスへ侵入することが可能になるという。

開発元であるSinaptikAIは、影響を軽減するためにプロジェクトの構成ファイルにセキュリティパラメータを導入。あわせてサンドボックスをリリースした。適切なセキュリティ設定を有効化するよう呼びかけられている。

(Security NEXT - 2025/02/13 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Junos OS」に定例外アップデート - ゼロデイ脆弱性を修正
サポート終了した「Bitdefender BOX v1」のアップデート機能に脆弱性
「Apache NiFi」にMongoDB認証情報が漏洩する脆弱性 - アップデートで修正
米政府、Apple製品や「Junos OS」の脆弱性悪用に注意喚起
「Junos OS」攻撃で複数マルウェア - マルウェア除去の実施を
「Cisco IOS XR」に複数の脆弱性 - アップデートで修正
Adobe、アドバイザリ7件を公開 - 脆弱性39件を解消
Ruby向け「SAML」認証ライブラリに脆弱性 - 認証回避のおそれ
「Adobe Acrobat/Reader」に深刻な脆弱性 - アップデートが公開
ビデオ会議のZoom、セキュリティアドバイザリ5件を公開