FedML-AI FedML में पथ पारगमन (Path Traversal) FileUtils.java, MQTT मैसेज हैंडलर

FedML-AI FedML के संस्करण 0.8.9 और उससे पहले में एक पथ पारगमन (path traversal) भेद्यता (vulnerability) पाई गई है। यह भेद्यता MQTT Message Handler घटक में FileUtils.java फ़ाइल में एक अज्ञात फ़ंक्शन को प्रभावित करती है। एक हमलावर 'dataSet' तर्क के डेटा में हेरफेर करके इस भेद्यता का फायदा उठा सकता है, जिससे वह इच्छित दायरे से बाहर की फ़ाइलों और निर्देशिकाओं तक पहुँचने में सक्षम हो सकता है। इसकी दूरस्थ रूप से शोषण करने की क्षमता के कारण इस भेद्यता को उच्च गंभीरता (high severity) के रूप में वर्गीकृत किया गया है। एक शोषण (exploit) के सार्वजनिक प्रकाशन से हमलों का जोखिम काफी बढ़ जाता है। विक्रेता (vendor) को इस प्रकटीकरण (disclosure) के बारे में जल्दी सूचित किया गया था, लेकिन उन्होंने कोई प्रतिक्रिया नहीं दी है, जिससे शमन (mitigation) के प्रयास बाधित हो रहे हैं।

Organizations utilizing FedML for machine learning or data processing, particularly those deploying it in cloud environments or shared hosting setups, are at significant risk. Environments with weak input validation or inadequate network segmentation are especially vulnerable.

• java / server:

find /path/to/fedml/ -name "FileUtils.java"

• java / server:

ps aux | grep -i "FedML"

• generic web:

curl -I http://your-fedml-server/../../../../etc/passwd

1. 2026-04-05Disclosure

   disclosure

1. आरक्षित2026-04-04
2. प्रकाशित2026-04-05
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-12

विक्रेता की प्रतिक्रिया की कमी को देखते हुए, तत्काल शमन (mitigation) मुश्किल है। मुख्य सिफारिश FedML-AI के पैच किए गए संस्करण में अपग्रेड करना है, जैसे ही यह उपलब्ध हो। इस बीच, FedML-AI को होस्ट करने वाले सर्वर पर सख्त पहुंच नियंत्रण लागू करें ताकि संवेदनशील फ़ाइलों तक पहुंच को सीमित किया जा सके। फ़ाइल हैंडलिंग से संबंधित संदिग्ध गतिविधि के लिए सिस्टम लॉग की सक्रिय रूप से निगरानी करें। नेटवर्क विभाजन (segmentation) FedML-AI सिस्टम को अन्य महत्वपूर्ण संसाधनों से अलग कर सकता है। विक्रेता की चुप्पी (silence) मजबूत घटना प्रतिक्रिया योजनाओं के महत्व पर प्रकाश डालती है।