FedML-AI FedML gRPC server grpc_server.py sendMessage deserialization

Eine Deserialisierungs-Schwachstelle wurde in FedML-AI FedML bis zur Version 0.8.9 identifiziert, insbesondere in der Funktion sendMessage der Datei grpc_server.py des gRPC-Server-Komponenten. Diese Schwachstelle ermöglicht es einem Remote-Angreifer, beliebigen Code auf dem betroffenen System auszuführen, indem er speziell gestaltete Nachrichten sendet. Die Schwere der Schwachstelle wird mit CVSS 7.3 bewertet, was ein moderat hohes Risiko anzeigt. Das Ausbleiben einer Reaktion des Anbieters auf frühzeitige Offenlegungen verschärft die Situation und lässt Benutzer ohne offizielle Lösung ungeschützt zurück. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit von FedML-Daten und -Systemen gefährden.

Organizations utilizing FedML for machine learning tasks, particularly those deploying it in cloud environments or exposing it to external networks, are at significant risk. Environments with limited security controls or those relying on older, unpatched versions of FedML are especially vulnerable. Shared hosting environments where multiple users share the same server instance could also be impacted.

• python / server:

import os
import subprocess
# Check for the vulnerable file
if os.path.exists('/path/to/fedml/grpc_server.py'): # Replace with actual path
    try:
        result = subprocess.run(['grep', '-i', 'sendMessage', '/path/to/fedml/grpc_server.py'], capture_output=True, text=True, check=True)
        if 'sendMessage' in result.stdout:
            print('Vulnerable file detected.')
        else:
            print('sendMessage function not found.')
    except subprocess.CalledProcessError as e:
        print(f'Error checking file: {e}')
else:
    print('FedML not installed.')

• generic web:

curl -I <fedml_grpc_endpoint> # Check for unusual headers or content types related to serialization

1. 2026-04-05Disclosure

   disclosure

1. Reserviert2026-04-04
2. Veröffentlicht2026-04-05
3. Geändert2026-04-06
4. EPSS aktualisiert2026-04-12

Da der Anbieter keine Lösung bereitgestellt hat, besteht die unmittelbare Mitigation darin, die Verwendung von FedML-AI FedML zu vermeiden, bis ein Update veröffentlicht wird. Wenn die Verwendung der Plattform unerlässlich ist, wird empfohlen, zusätzliche Sicherheitsmaßnahmen zu ergreifen, wie z. B. Netzwerkisolierung, Überwachung des Netzwerkverkehrs auf verdächtige Aktivitäten und die Durchsetzung strenger Sicherheitsrichtlinien, um den Zugriff auf Systemressourcen zu beschränken. Es ist entscheidend, Systeme mit den neuesten Sicherheitspatches auf dem neuesten Stand zu halten und regelmäßige Sicherheitsaudits durchzuführen, um potenzielle Schwachstellen zu identifizieren und zu beheben. Ziehen Sie in Betracht, auf eine sichere Alternative umzusteigen, wenn dies möglich ist.