Analytical use of cookies
CVE-2026-25874: Уразливість небезпечного десеріалізації в lerobot
Критична уразливість у lerobot дозволяє віддалене виконання коду через небезпечну десеріалізацію в gRPC без TLS. Рекомендується оновлення та захист каналів.
- CVSS
- 9.3 CRITICAL
- EPSS
- 96.42%
- Активно використовується
- немає в KEV
- Продукт
- lerobot
Що відомо
У lerobot версії до 0.5.1 виявлено критичну уразливість небезпечного десеріалізації в асинхронному inference pipeline, де pickle.loads() використовується для десеріалізації даних, отриманих через незахищені gRPC канали без TLS. Зловмисник може виконати довільний код на сервері або клієнті, відправивши спеціально сформований pickle-пейлоад через gRPC виклики.
Бізнес-вплив
Ця уразливість дозволяє віддаленому неавторизованому атакуючому виконувати довільний код на компонентах серверу або клієнта lerobot, що може призвести до компрометації систем, витоку даних або порушення роботи сервісу. Власники інфраструктури повинні розглядати цю загрозу як критичну та пріоритетно реагувати для запобігання потенційним атакам.
Рекомендовані дії адміністратора
Рекомендується негайно перевірити наявність оновлень або патчів від постачальника huggingface для lerobot. Якщо оновлення недоступні, слід обмежити доступ до gRPC сервісів, впровадити TLS для захисту каналів, провести аудит логів на предмет підозрілої активності та пріоритезувати усунення уразливості у планах безпеки.