CVE-2026-23001 – Hugging Face Transformers モデルデシリアライゼーション RCE

概要

torch.save() で保存された Hugging Face モデルは、本質的に安全ではない Python の pickle シリアライゼーションを使用します。ユーザーがリポジトリから一見正規のモデルをダウンロードすると、ロード時に任意のコード実行がトリガーされ、環境全体が侵害される可能性があります。

脆弱性の詳細

• 種別: 安全でないデシリアライゼーション
• 影響: リモートコード実行
• 根本原因: torch.load() は pickle のデシリアライゼーションをサンドボックス化しないため、攻撃者はシェルコマンドを実行する __reduce__ メソッドを注入できます。

エクスプロイトの実証

1. 悪意のあるモデルを生成します:
   root@kitploit:~

   pip install torch
   python malicious_model_card.py
   

2. 被害者がモデルをロードする状況をシミュレートします:
   root@kitploit:~

   python exploit_hf_pickle.py
   

/tmp/hf_pwned ファイルが生成され、コード実行が証明されます。