CVE-2026-23001 – RCE por deserialización de modelos Hugging Face Transformers

Resumen

Los modelos de Hugging Face guardados con torch.save() utilizan la serialización pickle de Python, que es inherentemente insegura. Si un usuario descarga un modelo aparentemente legítimo de un repositorio, cargarlo puede desencadenar una ejecución arbitraria de código, comprometiendo todo el entorno.

Detalles de la vulnerabilidad

• Tipo: Deserialización insegura
• Impacto: Ejecución remota de código
• Causa raíz: torch.load() no aísla la deserialización pickle; los atacantes pueden inyectar un método __reduce__ que ejecuta comandos de shell.

Demostración del exploit

1. Genere un modelo malicioso:
   root@kitploit:~

   pip install torch
   python malicious_model_card.py
   

2. Simule que la víctima carga el modelo:
   root@kitploit:~

   python exploit_hf_pickle.py
   

El archivo /tmp/hf_pwned aparece, lo que demuestra la ejecución de código.