CVE-2026-25874

إصدارات LeRobot الأقدم من 0.6.0

توجد مشكلة في عملية إزالة التسلسل غير الآمنة في مسار الاستدلال غير المتزامن لمكونات خادم السياسات وعميل الروبوت. يستخدم البرنامج الدالة pickle.loads() لإلغاء تسلسل البيانات المستلمة عبر قنوات gRPC غير المصادق عليها والتي تفتقر إلى TLS (أمان طبقة النقل)، وهو بروتوكول يُستخدم لتشفير الاتصالات. يمكن لمهاجم غير مصادق عليه وقابل للوصول عبر الشبكة تنفيذ تعليمات برمجية عن بُعد عن طريق إرسال حمولة pickle مصممة خصيصًا من خلال استدعاءات gRPC التالية:

يمكن أن يؤدي استغلال هذه الثغرة إلى اختراق الجهاز المضيف، أو سرقة البيانات الحساسة مثل مفاتيح واجهة برمجة التطبيقات (API) وبيانات اعتماد SSH، أو التنقل الأفقي داخل الشبكة، أو رفض الخدمة، أو التلاعب بسلوك الروبوت المادي.

قم بالتحديث إلى الإصدار 0.6.0.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول الشبكي إلى منفذ PolicyServer لمنع الاتصالات الخارجية غير المصرح بها.