CVE-2026-23001 – RCE par désérialisation de modèles Hugging Face Transformers

Vue d'ensemble

Les modèles Hugging Face enregistrés avec torch.save() utilisent la sérialisation pickle de Python, qui est intrinsèquement dangereuse. Si un utilisateur télécharge un modèle d'apparence légitime depuis un dépôt, son chargement peut déclencher l'exécution de code arbitraire, compromettant l'ensemble de l'environnement.

Détails de la vulnérabilité

• Type : Désérialisation non sécurisée
• Impact : Exécution de code à distance
• Cause racine : torch.load() ne cloisonne pas la désérialisation pickle ; les attaquants peuvent injecter une méthode __reduce__ qui exécute des commandes shell.

Démonstration de l'exploit

1. Générer un modèle malveillant :
   root@kitploit:~

   pip install torch
   python malicious_model_card.py
   

2. Simuler le chargement du modèle par la victime :
   root@kitploit:~

   python exploit_hf_pickle.py
   

Le fichier /tmp/hf_pwned apparaît, prouvant l'exécution de code.