摘要:
python-scikit-learn security update
安全等级: Medium
公告ID: KylinSec-SA-2024-3541
发布日期: 2024年6月21日
关联CVE: CVE-2024-5206
基于SciPy构建的机器学习Python模块
安全修复：
scikit-learn的TfidfVectorizer中发现了一个敏感的数据泄漏漏洞，特别是在1.4.1.post1之前的版本中，该漏洞在1.5.0版本中得到了修复。该漏洞源于在`stop_words_`属性中意外存储训练数据中存在的所有令牌，而不仅仅是存储TF-IDF技术运行所需的令牌子集。这种行为会导致敏感信息的潜在泄漏，因为`stop_words_`属性可能包含要丢弃而不存储的令牌，如密码或密钥。此漏洞的影响因矢量器处理的数据的性质而异。（CVE-2024-5206)
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2024-5206 | KY3.4-5A | python-scikit-learn | Fixed |
| CVE-2024-5206 | KY3.5.2 | python-scikit-learn | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| python3-scikit-learn | x86_64 | 0.20.4-5.kb1.ky3_4 |
| python3-scikit-learn | aarch64 | 0.20.4-5.kb1.ky3_4 |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| python3-scikit-learn | x86_64 | 1.1.1-2.ky3_5 |
| python3-scikit-learn | aarch64 | 1.1.1-2.ky3_5 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
