CVE-2026-9335
Təsvir
keras-team/keras versiyaları <= 3.14.0-da mövcud olan zəiflik, HDF5 ExternalLinks-lərin düzgün idarə edilməməsi səbəbindən ixtiyari lokal HDF5 fayl məzmununun açıqlanmasına şərait yaradır. `KerasFileEditor` və `keras.saving.load_weights` funksiyaları, ExternalLinks və SoftLinks-ləri rədd etmək üçün nəzərdə tutulmuş `safe_get_h5_group` və `safe_get_h5_dataset` köməkçi funksiyalarını yan keçir. Bu, xarici HDF5 fayllarına olan linklərin avtomatik dereferensiyasına səbəb olur və hücumçulara qurbanın lokal fayl sistemindən həssas məlumatları əldə etməyə imkan verir. Xüsusilə, `KerasFileEditor` bağlı fayllardan atributları və dataset-ləri öz daxili strukturlarına çıxarır, `keras.saving.load_weights` isə bağlı fayllardan çəkiləri istifadəçinin modelinə yükləyir. Bu problem, ExternalLinks ehtiva edən zərərli `.h5`, `.weights.h5` və ya `.keras` faylı təqdim edilməklə istismar edilə bilər.
Necə düzəltmək olar
- keras3.12.3, 3.15.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kerasPyPI | v < 3.12.3, 3.13.0 ≤ v < 3.15.0 | 3.12.3, 3.15.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.