Vulnerabilities found for jupyter-pytorch-full:1.8.0

[ckfbot]

Vulnerabilities found for jupyter-pytorch-full:1.8.0

For OSS Maintainers: VEX Notice
--------------------------------
If you're an OSS maintainer and Trivy has detected vulnerabilities in your project that you believe are not actually exploitable, consider issuing a VEX (Vulnerability Exploitability eXchange) statement.
VEX allows you to communicate the actual status of vulnerabilities in your project, improving security transparency and reducing false positives for your users.
Learn more and start using VEX: https://aquasecurity.github.io/trivy/v0.56/docs/supply-chain/vex/repo#publishing-vex-documents

To disable this notice, set the TRIVY_DISABLE_VEX_NOTICE environment variable.


charmedkubeflow/jupyter-pytorch-full:1.8.0-5a3d6ea (ubuntu 20.04)
=================================================================
Total: 0 (HIGH: 0, CRITICAL: 0)


Python (python-pkg)
===================
Total: 37 (HIGH: 24, CRITICAL: 13)

┌───────────────────────┬─────────────────────┬──────────┬────────┬───────────────────┬───────────────┬──────────────────────────────────────────────────────────────┐
│        Library        │    Vulnerability    │ Severity │ Status │ Installed Version │ Fixed Version │                            Title                             │
├───────────────────────┼─────────────────────┼──────────┼────────┼───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ gunicorn (METADATA)   │ CVE-2024-1135       │ HIGH     │ fixed  │ 20.1.0            │ 22.0.0        │ python-gunicorn: HTTP Request Smuggling due to improper      │
│                       │                     │          │        │                   │               │ validation of Transfer-Encoding headers                      │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-1135                    │
├───────────────────────┼─────────────────────┤          │        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ jupyterlab (METADATA) │ CVE-2024-22421      │          │        │ 3.6.6             │ 4.0.11, 3.6.7 │ JupyterLab is an extensible environment for interactive and  │
│                       │                     │          │        │                   │               │ reproducib ...                                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-22421                   │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-43805      │          │        │                   │ 3.6.8, 4.2.5  │ jupyterlab is an extensible environment for interactive and  │
│                       │                     │          │        │                   │               │ reproducib ...                                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-43805                   │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
├───────────────────────┼─────────────────────┼──────────┤        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ mlflow (METADATA)     │ CVE-2023-1177       │ CRITICAL │        │ 2.1.1             │ 2.2.1         │ mlflow is vulnerable to remote file access in `mlflow        │
│                       │                     │          │        │                   │               │ server` and `mlflow...                                       │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-1177                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-2780       │          │        │                   │ 2.3.0         │ mlflow Path Traversal vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-2780                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-3765       │          │        │                   │ 2.5.0         │ MLflow Path Traversal vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-3765                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6014       │          │        │                   │ 2.8.0         │ MLflow authentication requirement bypass can allow a user to │
│                       │                     │          │        │                   │               │ arbitrarily create an...                                     │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6014                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6015       │          │        │                   │ 2.8.1         │ MLflow allowed arbitrary files to be PUT onto the server     │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6015                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6018       │          │        │                   │ 2.9.2         │ Remote Code Execution due to Full Controled File Write in    │
│                       │                     │          │        │                   │               │ mlflow                                                       │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6018                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6831       │          │        │                   │               │ Path traversal in MLflow                                     │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6831                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6974       │          │        │                   │               │ MLflow Server-Side Request Forgery (SSRF)                    │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6974                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6975       │          │        │                   │               │ MLFlow Path Traversal Vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6975                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-0520       │          │        │                   │ 2.9.0         │ Remote code execution in mlflow                              │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-0520                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-3573       │          │        │                   │ 2.10.0        │ mlflow vulnerable to Path Traversal                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-3573                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ GHSA-83fm-w79m-64r5 │          │        │                   │ 2.3.1         │ Remote file access vulnerability in `mlflow server` and      │
│                       │                     │          │        │                   │               │ `mlflow ui` CLIs                                             │
│                       │                     │          │        │                   │               │ https://github.com/advisories/GHSA-83fm-w79m-64r5            │
│                       ├─────────────────────┼──────────┤        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-2356       │ HIGH     │        │                   │               │ Relative path traversal in mlflow                            │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-2356                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-4033       │          │        │                   │ 2.6.0         │ mlflow vulnerable to OS Command Injection                    │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-4033                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-43472      │          │        │                   │ 2.9.0         │ Information exposure in MLflow                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-43472                   │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6709       │          │        │                   │ 2.9.2         │ Jinja2 template injection in mlflow                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6709                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6753       │          │        │                   │               │ Path traversal in MLflow                                     │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6753                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6909       │          │        │                   │               │ MLflow Path Traversal Vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6909                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6940       │          │        │                   │               │ mlflow Command Injection vulnerability                       │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6940                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6976       │          │        │                   │               │ MLflow Path Traversal Vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6976                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2023-6977       │          │        │                   │               │ MLflow Local File Disclosure Vulnerability                   │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-6977                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-1483       │          │        │                   │ 2.12.1        │ mlflow Path Traversal vulnerability                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-1483                    │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-1558       │          │        │                   │               │ mlflow vulnerable to Path Traversal                          │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-1558                    │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-27132      │          │        │                   │ 2.10.0        │ Cross-site Scripting in MLFlow                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-27132                   │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-27133      │          │        │                   │               │ MLFlow Cross-site Scripting vulnerability leads to           │
│                       │                     │          │        │                   │               │ client-side Remote Code Execution                            │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-27133                   │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-27134      │          │        │                   │ 2.16.0        │ MLflow's excessive directory permissions allow local         │
│                       │                     │          │        │                   │               │ privilege escalation                                         │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-27134                   │
│                       ├─────────────────────┤          │        │                   ├───────────────┼──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-2928       │          │        │                   │ 2.11.3        │ Local File Inclusion in mlflow                               │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-2928                    │
├───────────────────────┼─────────────────────┼──────────┤        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ pyarrow (METADATA)    │ CVE-2023-47248      │ CRITICAL │        │ 10.0.1            │ 14.0.1        │ PyArrow: Arbitrary code execution when loading a malicious   │
│                       │                     │          │        │                   │               │ data file                                                    │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2023-47248                   │
├───────────────────────┼─────────────────────┼──────────┤        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ torch (METADATA)      │ CVE-2024-31580      │ HIGH     │        │ 2.1.0+cpu         │ 2.2.0         │ PyTorch before v2.2.0 was discovered to contain a heap       │
│                       │                     │          │        │                   │               │ buffer overflow ......                                       │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-31580                   │
│                       ├─────────────────────┤          │        │                   │               ├──────────────────────────────────────────────────────────────┤
│                       │ CVE-2024-31583      │          │        │                   │               │ Pytorch before version v2.2.0 was discovered to contain a    │
│                       │                     │          │        │                   │               │ use-after-fr ...                                             │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-31583                   │
├───────────────────────┼─────────────────────┤          │        ├───────────────────┼───────────────┼──────────────────────────────────────────────────────────────┤
│ tornado (METADATA)    │ CVE-2024-52804      │          │        │ 6.4               │ 6.4.2         │ python-tornado: Tornado has HTTP cookie parsing DoS          │
│                       │                     │          │        │                   │               │ vulnerability                                                │
│                       │                     │          │        │                   │               │ https://avd.aquasec.com/nvd/cve-2024-52804                   │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
│                       │                     │          │        │                   │               │                                                              │
└───────────────────────┴─────────────────────┴──────────┴────────┴───────────────────┴───────────────┴──────────────────────────────────────────────────────────────┘

usr/bin/kubectl (gobinary)
==========================
Total: 4 (HIGH: 3, CRITICAL: 1)

┌────────────────────────────────┬────────────────┬──────────┬────────┬─────────────────────┬─────────────────┬────────────────────────────────────────────────────────────┐
│            Library             │ Vulnerability  │ Severity │ Status │  Installed Version  │  Fixed Version  │                           Title                            │
├────────────────────────────────┼────────────────┼──────────┼────────┼─────────────────────┼─────────────────┼────────────────────────────────────────────────────────────┤
│ github.com/docker/distribution │ CVE-2023-2253  │ HIGH     │ fixed  │ v2.8.1+incompatible │ 2.8.2-beta.1    │ distribution/distribution: DoS from malicious API request  │
│                                │                │          │        │                     │                 │ https://avd.aquasec.com/nvd/cve-2023-2253                  │
├────────────────────────────────┼────────────────┼──────────┤        ├─────────────────────┼─────────────────┼────────────────────────────────────────────────────────────┤
│ stdlib                         │ CVE-2024-24790 │ CRITICAL │        │ 1.20.14             │ 1.21.11, 1.22.4 │ golang: net/netip: Unexpected behavior from Is methods for │
│                                │                │          │        │                     │                 │ IPv4-mapped IPv6 addresses                                 │
│                                │                │          │        │                     │                 │ https://avd.aquasec.com/nvd/cve-2024-24790                 │
│                                ├────────────────┼──────────┤        │                     ├─────────────────┼────────────────────────────────────────────────────────────┤
│                                │ CVE-2023-45288 │ HIGH     │        │                     │ 1.21.9, 1.22.2  │ golang: net/http, x/net/http2: unlimited number of         │
│                                │                │          │        │                     │                 │ CONTINUATION frames causes DoS                             │
│                                │                │          │        │                     │                 │ https://avd.aquasec.com/nvd/cve-2023-45288                 │
│                                ├────────────────┤          │        │                     ├─────────────────┼────────────────────────────────────────────────────────────┤
│                                │ CVE-2024-34156 │          │        │                     │ 1.22.7, 1.23.1  │ encoding/gob: golang: Calling Decoder.Decode on a message  │
│                                │                │          │        │                     │                 │ which contains deeply nested structures...                 │
│                                │                │          │        │                     │                 │ https://avd.aquasec.com/nvd/cve-2024-34156                 │
└────────────────────────────────┴────────────────┴──────────┴────────┴─────────────────────┴─────────────────┴────────────────────────────────────────────────────────────┘

/opt/conda/lib/python3.11/site-packages/google/auth/crypt/__pycache__/_python_rsa.cpython-311.pyc (secrets)
===========================================================================================================
Total: 2 (HIGH: 2, CRITICAL: 0)

HIGH: AsymmetricPrivateKey (private-key)
════════════════════════════════════════
Asymmetric Private Key
────────────────────────────────────────


HIGH: AsymmetricPrivateKey (private-key)
════════════════════════════════════════
Asymmetric Private Key
────────────────────────────────────────

Details: https://github.com/canonical/kubeflow-rocks/actions/runs/12382950629

[syncronize-issues-to-jira]

Thank you for reporting us your feedback!

The internal ticket has been created: https://warthogs.atlassian.net/browse/KF-6466.

This message was autogenerated