Vulnerabilidad en Lightning-ai/pytorch-lightning (CVE-2024-5452)

Existe una vulnerabilidad de ejecución remota de código (RCE) en la versión 2.2.1 de la librería Lightning-ai/pytorch-lightning debido al manejo inadecuado de la entrada del usuario deserializada y a la mala administración de los atributos dunder por parte de la librería "deepdiff". La librería utiliza objetos `deepdiff.Delta` para modificar el estado de la aplicación en función de las acciones del frontend. Sin embargo, es posible eludir las restricciones previstas sobre la modificación de los atributos de dunder, lo que permite a un atacante construir un delta serializado que pasa la lista blanca de deserializadores y contiene atributos de dunder. Cuando se procesa, esto se puede aprovechar para acceder a otros módulos, clases e instancias, lo que lleva a una escritura de atributos arbitraria y un RCE total en cualquier aplicación pytorch-lightning autohospedada en su configuración predeterminada, ya que el endpoint delta está habilitado de forma predeterminada.