Deserialization dans FedML-AI FedML gRPC server grpc_server.py sendMessage

Une vulnérabilité de désérialisation a été identifiée dans FedML-AI FedML jusqu'à la version 0.8.9, spécifiquement dans la fonction sendMessage du fichier grpc_server.py du composant serveur gRPC. Cette vulnérabilité permet à un attaquant distant d'exécuter du code arbitraire sur le système affecté en envoyant des messages malveillants. La sévérité de la vulnérabilité est notée CVSS 7.3, ce qui indique un risque modérément élevé. Le manque de réponse du fournisseur aux notifications de divulgation anticipées aggrave la situation, laissant les utilisateurs exposés sans correctif officiel. Une exploitation réussie pourrait compromettre la confidentialité, l'intégrité et la disponibilité des données et des systèmes FedML.

Organizations utilizing FedML for machine learning tasks, particularly those deploying it in cloud environments or exposing it to external networks, are at significant risk. Environments with limited security controls or those relying on older, unpatched versions of FedML are especially vulnerable. Shared hosting environments where multiple users share the same server instance could also be impacted.

• python / server:

import os
import subprocess
# Check for the vulnerable file
if os.path.exists('/path/to/fedml/grpc_server.py'): # Replace with actual path
    try:
        result = subprocess.run(['grep', '-i', 'sendMessage', '/path/to/fedml/grpc_server.py'], capture_output=True, text=True, check=True)
        if 'sendMessage' in result.stdout:
            print('Vulnerable file detected.')
        else:
            print('sendMessage function not found.')
    except subprocess.CalledProcessError as e:
        print(f'Error checking file: {e}')
else:
    print('FedML not installed.')

• generic web:

curl -I <fedml_grpc_endpoint> # Check for unusual headers or content types related to serialization

1. 2026-04-05Disclosure

   disclosure

1. Réservé2026-04-04
2. Publiée2026-04-05
3. Modifiée2026-04-06
4. EPSS mis à jour2026-04-12

Étant donné que le fournisseur n'a fourni aucune solution, la mitigation immédiate consiste à éviter l'utilisation de FedML-AI FedML jusqu'à ce qu'une mise à jour soit publiée. Si l'utilisation de la plateforme est essentielle, il est recommandé de mettre en œuvre des mesures de sécurité supplémentaires, telles que l'isolement du réseau, la surveillance du trafic réseau à la recherche d'activités suspectes et l'application de politiques de sécurité strictes pour limiter l'accès aux ressources du système. Il est essentiel de maintenir les systèmes à jour avec les derniers correctifs de sécurité et de réaliser des audits de sécurité périodiques pour identifier et traiter les vulnérabilités potentielles. Envisagez de migrer vers une alternative sécurisée si possible.