CVE-2026-57516

إصدارات Ray الأقدم من 2.56.0

توجد مشكلة غير آمنة في عملية إزالة التسلسل في قارئ WebDataset. يمكن للمهاجم تنفيذ تعليمات برمجية عن بُعد من خلال تزويد الدالة read webdataset() بأرشيف tar ضار. تقوم الدالة default decoder() الموجودة في ملف webdataset datasource.py باستدعاء الدالة pickle.loads() دون قيد أو شرط على إدخالات tar ذات الامتدادات .pkl أو .pickle، كما تستدعي الدالة torch.load() مع المعلمة weights only=False على الإدخالات ذات الامتدادات .pt أو .pth. ويؤدي ذلك إلى تنفيذ تعليمات برمجية عشوائية داخل عمال Ray عن بُعد على كل عامل يقوم بمعالجة الأرشيف الخبيث. إلغاء التسلسل هو عملية تحويل تنسيق البيانات مرة أخرى إلى كائن، والتي تصبح غير آمنة عند معالجة بيانات غير موثوق بها دون التحقق من صحتها.

قم بالتحديث إلى الإصدار 2.56.0 أو أحدث.

كإجراء تخفيفي مؤقت، تجنب استخدام الدالة read webdataset() مع أرشيفات tar غير موثوق بها.