Podatności Hugging Face Transformers

Podatność w Hugging Face Transformers (wersje 4.49.0 do 5.8.1) pozwala na zapis zdalnych plików Python na lokalnym dysku bez zgody użytkownika podczas korzystania z GenerativePreTrainedModel.load_custom_generate(). Funkcja pobiera i buforuje zdalny plik modułu przed wykonaniem wymaganego sprawdzenia trust_remote_code, odwracając model bezpieczeństwa stosowany w innych ścieżkach ładowania kodu. W rezultacie kod kontrolowany przez atakującego z custom_generate/generate.py jest kopiowany do katalogu ~/.cache/huggingface/modules nawet jeśli użytkownik odrzuci monit o zaufanie.

Hugging Face Transformers nie waliduje nazw plików shardów w plikach indeksu checkpointów, co pozwala atakującym czytać dowolne pliki poza katalogiem modelu. Atakujący mogą dostarczyć złośliwe pliki indeksu z odniesieniami do katalogów nadrzędnych lub ścieżkami bezwzględnymi, co umożliwia ujawnienie plików i rozpoznanie systemu plików.

Hugging Face Transformers do wersji 5.8.0.dev0 zawiera podatność na zapis dowolnych plików przez path traversal w metodach save_pretrained(). Klucze z chat_template są używane jako nazwy plików bez walidacji.