PT-2026-113373 · Xorbits · Xoscar
CVSS v3.1
9.8
حرجة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المصاب والإصدارات المتأثرة
Xorbits Xoscar الإصدارات السابقة لـ 0.11.2
Description
توجد ثغرة إلغاء تسلسل غير مصرح بها في قنوات TCP الخاصة بـ actor-pool. يمكن للمهاجمين عن بُعد تنفيذ رمز عشوائي بصلاحيات root على عقد GPU عن طريق إرسال بيانات مصممة خصيصاً. تحدث المشكلة عندما تقوم
SocketChannel.recv() بتمرير بيانات غير مصادق عليها إلى cloudpickle.loads()، مما يؤدي إلى تنفيذ gadget pickle reduce قبل التحقق من نوع الرسالة.Recommendations
تحديث Xorbits Xoscar إلى إصدار أحدث من 0.11.2.
استغلال
إصلاح
RCE
Deserialization of Untrusted Data
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Xoscar