Обнаружены критические уязвимости в популярных Python-библиотеках NeMo, Uni2TS и FlexTok от Nvidia, Salesforce и Apple, используемых на Hugging Face. Они позволяют удаленно выполнять код через метаданные моделей. В популярных библиотеках Python для искусственного интеллекта и машинного обучения, используемых в моделях Hugging Face с десятками миллионов загрузок, обнаружены уязвимости, позволяющие удаленным злоумышленникам внедрять вредоносный код в метаданные. Этот код затем автоматически исполняется при загрузке файла, содержащего зараженные метаданные...

Обнаружены критические уязвимости в популярных Python-библиотеках NeMo, Uni2TS и FlexTok, используемых в моделях машинного обучения на Hugging Face. Исследователи Unit 42 установили, что злоумышленники могут внедрять вредоносный код через метаданные, который активируется при загрузке файла, что ведет к удаленному выполнению кода (RCE). Разработчики уже выпустили исправления. Python-библиотеки для искусственного интеллекта (ИИ) и машинного обучения (МО) — NeMo, Uni2TS и FlexTok, используемые в моделях Hugging Face, — имеют серьезные уязвимости...