Alexchenai

**Nome do Software Vulnerável e Versões Afetadas** Ray versões anteriores a 2.56.0 **Description** Um problema de desserialização insegura existe no leitor WebDataset. Um invasor pode alcançar a execução remota de código ao fornecer um arquivo tar malicioso para a função `read webdataset()`. A função ` default decoder()` em webdataset datasource.py chama incondicionalmente `pickle.loads()` em entradas tar com extensões .pkl ou .pickle e `torch.load()` com `weights only=False` em entradas .pt ou .pth. Isso resulta na execução de código arbitrário dentro dos trabalhadores remotos do Ray em cada trabalhador que processa o arquivo malicioso. Desserialização é o processo de converter um formato de dados de volta em um objeto, o que se torna inseguro quando dados não confiáveis são processados sem validação. **Recommendations** Atualize para a versão 2.56.0 ou posterior. Como mitigação temporária, evite usar a função `read webdataset()` com arquivos tar não confiáveis.