CVE-2026-31218
Təsvir
optimate layihəsinin a6d302f912b481c94370811af6b11402f51d377f (2024-07-21) commit-indəki neural_magic_training.py skriptinin _load_model() funksiyası təhlükəsiz olmayan deserializasiyaya (CWE-502) qarşı həssasdır. torch.load() vasitəsilə state_dict.pt faylından model vəziyyət lüğətini yükləyərkən, funksiya weights_only=True təhlükəsizlik parametrini aktivləşdirmir. Bu, Pickle modulu vasitəsilə ixtiyari Python obyektlərinin deserializasiyasına imkan verir. Uzaqdakı hücumçu, --model arqumenti ilə göstərilən kataloq daxilində zərərli şəkildə hazırlanmış state_dict.pt faylını təqdim etməklə bundan istifadə edə bilər ki, bu da qurbanın sistemində deserializasiya prosesi zamanı ixtiyari kodun icrasına səbəb olar.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| optimate | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.