CVE-2026-73325
Açıklama
Fujitsu Research'ün OneCompression kütüphanesinin 1.2.1 öncesi sürümleri, QuantizedModelLoader.load_quantized_model_pt() fonksiyonunun torch.load'u koşulsuz olarak weights_only=False ile çağırması ve serileştirme kaldırma sırasında Python'un pickle mekanizmasını devreye sokması nedeniyle, saldırganların hazırlanmış bir model.pt kontrol noktası dosyası sağlayarak rastgele kod çalıştırmasına olanak tanıyan güvenli olmayan bir serileştirme kaldırma güvenlik açığı içerir. Saldırganlar, kütüphane çağıran tarafından seçilen model dizininden dosyayı yüklediğinde sistem komutları da dahil olmak üzere rastgele Python kodu çalıştırmak için hazırlanmış bir model kontrol noktasına kötü amaçlı __reduce__ yöntemleri yerleştirebilir.
Nasıl düzeltilir
- Fujitsu Research OneCompression1.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Fujitsu Research OneCompression | v < 1.2.1 | 1.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.