Meta FAIRChem: lỗi giải tuần tự có thể dẫn đến thực thi mã tùy ý

ZDI cảnh báo lỗi giải tuần tự dữ liệu không tin cậy trong FAIRChem utils load_inference_model của Meta, có thể cho phép thực thi mã trong tiến trình hiện tại khi người dùng mở tệp độc hại hoặc truy cập trang độc hại. ZDI khuyến nghị hạn chế tương tác với sản phẩm.

Tóm tắt nhanh
Lỗi giải tuần tự dữ liệu không tin cậy trong FAIRChem có thể dẫn đến thực thi mã tùy ý.
Vấn đề nằm ở utils load_inference_model khi phân tích tệp checkpoint; cần tương tác của người dùng.
ZDI khuyến nghị hạn chế tương tác với FAIRChem và tránh nội dung không đáng tin cậy.

Nội dung bài viết

Zero Day Initiative (ZDI) đã công bố advisory ZDI-26-953 về lỗ hổng trong FAIRChem của Meta. Lỗi có thể cho phép thực thi mã trong ngữ cảnh tiến trình hiện tại nếu người dùng truy cập trang độc hại hoặc mở tệp độc hại.

Tổng quan và thông tin kỹ thuật

Thành phần utils load_inference_model xử lý các tệp checkpoint để tải mô hình. Theo ZDI, quá trình phân tích thiếu xác thực dữ liệu đầu vào, dẫn đến giải tuần tự dữ liệu không tin cậy.

Thông tin	Chi tiết
Sản phẩm	Meta FAIRChem
Thành phần	utils load_inference_model
Định danh	ZDI-26-953; ZDI-CAN-29448
CVSS	7.8 (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)
Nguồn	Zero Day Initiative

Phạm vi ảnh hưởng

Advisory đề cập FAIRChem và thành phần utils load_inference_model. Không có thông tin về nhánh phiên bản bị ảnh hưởng hoặc phiên bản đã sửa, nên chưa thể đối chiếu một phiên bản cụ thể.

Cơ chế và tác động

Lỗi xảy ra khi phân tích tệp checkpoint do thiếu xác thực dữ liệu đầu vào. Nếu người dùng truy cập trang độc hại hoặc mở tệp độc hại, kẻ tấn công có thể thực thi mã trong ngữ cảnh tiến trình hiện tại.