CVE-2026-57516

Nome do Software Vulnerável e Versões Afetadas Ray versões anteriores a 2.56.0

Description Um problema de desserialização insegura existe no leitor WebDataset. Um invasor pode alcançar a execução remota de código ao fornecer um arquivo tar malicioso para a função read webdataset(). A função default decoder() em webdataset datasource.py chama incondicionalmente pickle.loads() em entradas tar com extensões .pkl ou .pickle e torch.load() com weights only=False em entradas .pt ou .pth. Isso resulta na execução de código arbitrário dentro dos trabalhadores remotos do Ray em cada trabalhador que processa o arquivo malicioso. Desserialização é o processo de converter um formato de dados de volta em um objeto, o que se torna inseguro quando dados não confiáveis são processados sem validação.

Recommendations Atualize para a versão 2.56.0 ou posterior. Como mitigação temporária, evite usar a função read webdataset() com arquivos tar não confiáveis.