Критическая уязвимость в библиотеке LeRobot от Hugging Face: удаленное выполнение кода через небезопасную десериализацию

Специалисты по кибербезопасности обнаружили критическую уязвимость в библиотеке LeRobot, предназначенной для разработки искусственного интеллекта и робототехники. Проблема затрагивает все версии инструмента до 0.5.1 включительно. Злоумышленник может удаленно выполнить произвольный код на целевой системе без каких-либо дополнительных привилегий. Уязвимость получила идентификатор CVE-2026-25874 и зафиксирована в Банке данных угроз безопасности информации (BDU) под номером 2026-06131. По шкале CVSS версии 3.1 ее базовая оценка составляет 9,8 балла из 10, что соответствует критическому уровню опасности. При этом по устаревшей шкале CVSS 2.0 оценка достигает максимальных 10 баллов.

Детали уязвимости

Корень проблемы кроется в функции pickle.loads() - методе языка Python для восстановления объектов из бинарного формата. Разработчики LeRobot использовали этот механизм без дополнительной проверки данных. В результате нарушитель может подменить сериализованный объект таким образом, что при его загрузке система выполнит вредоносный код.

Такая техника атаки называется внедрением полезной нагрузки через десериализацию. Дело в том, что формат pickle допускает встраивание произвольных команд в сам файл. Если программа загружает данные из ненадежного источника, злоумышленник может заставить ее запустить, например, удаленную оболочку или программу-вымогатель. В случае LeRobot атака возможна через манипулирование структурами данных, которые передаются по сети или из внешних файлов. Важно отметить, что для эксплуатации уязвимости не требуется никакой аутентификации. Нарушителю достаточно отправить специально сформированный пакет на уязвимый сервер или подсунуть вредоносный файл разработчику. Публичный код для атаки уже существует в открытом доступе, что значительно повышает риски.

LeRobot - популярная библиотека с открытым исходным кодом, которую используют исследователи и инженеры по всему миру. Она упрощает работу с роботизированными системами, симуляторами и наборами данных для обучения нейросетей. Уязвимость в таком инструменте означает, что под угрозой могут оказаться как исследовательские лаборатории, так и промышленные предприятия, внедряющие решения на основе ИИ.

К каким последствиям может привести реализация атаки? В первую очередь это полная компрометация сервера или рабочей станции разработчика. Злоумышленник может похитить конфиденциальные данные, включая модели машинного обучения, исходный код и логи экспериментов. Кроме того, он способен установить программы-вымогатели, парализовав работу целых отделов. В случае подключения роботов к сети атакующий может получить контроль над физическими устройствами, что создает прямую угрозу безопасности людей.

К счастью, разработчики из Hugging Face оперативно отреагировали на проблему. Уязвимость уже устранена в версии 0.5.1, а на GitHub опубликован соответствующий патч. Пользователям настоятельно рекомендуется как можно скорее обновить библиотеку до актуальной версии. Тем, кто использует LeRobot в составе более крупных систем, необходимо проверить цепочку поставок и убедиться, что никто не загрузил вредоносный pickle-файл.

Эта история еще раз напоминает, насколько опасным может быть доверие к данным из внешних источников. Механизм десериализации pickle в Python давно известен своей небезопасностью, но разработчики продолжают использовать его без дополнительных проверок. Специалисты по защите информации рекомендуют либо отказаться от pickle в пользу более безопасных форматов, таких как JSON с ограниченными классами, либо применять строгую проверку входных данных и изолированную среду выполнения.

Инцидент с LeRobot - не единичный случай. Ранее аналогичные уязвимости находили в библиотеках scikit-learn и TensorFlow. Каждый раз проблема была одна и та же: недостаток контроля при загрузке обученных моделей. Для организаций, которые активно применяют машинное обучение, это сигнал к внедрению дополнительных мер защиты: подписывание файлов моделей, проверка контрольных сумм и использование песочниц для выполнения кода.

В целом, ситуация под контролем: патч выпущен, а доступность эксплойта позволяет компаниям протестировать свои системы на устойчивость к подобным атакам. Однако важно не затягивать с обновлением. Критическая оценка CVSS 9,8 означает, что атакующий может нанести максимальный ущерб без каких-либо усилий со стороны жертвы.

Детали уязвимости

Ссылки