FedML-AI FedML gRPC सर्वर grpc_server.py sendMessage डीसीरियलाइज़ेशन (Deserialization)

FedML-AI FedML के संस्करण 0.8.9 और उससे पहले में एक डिसेरियलाइजेशन भेद्यता की पहचान की गई है, विशेष रूप से gRPC सर्वर घटक के grpc_server.py फ़ाइल में sendMessage फ़ंक्शन के भीतर। यह भेद्यता एक दूरस्थ हमलावर को दुर्भावनापूर्ण रूप से तैयार संदेश भेजकर प्रभावित सिस्टम पर मनमाना कोड निष्पादित करने की अनुमति देती है। इस भेद्यता की गंभीरता को CVSS 7.3 के रूप में रेट किया गया है, जो एक मध्यम से उच्च जोखिम का संकेत देता है। प्रारंभिक प्रकटीकरण सूचनाओं पर विक्रेता की प्रतिक्रिया की कमी स्थिति को बढ़ा देती है, जिससे उपयोगकर्ताओं को आधिकारिक फिक्स के बिना उजागर छोड़ दिया जाता है। सफल शोषण से FedML डेटा और सिस्टम की गोपनीयता, अखंडता और उपलब्धता से समझौता हो सकता है।

Organizations utilizing FedML for machine learning tasks, particularly those deploying it in cloud environments or exposing it to external networks, are at significant risk. Environments with limited security controls or those relying on older, unpatched versions of FedML are especially vulnerable. Shared hosting environments where multiple users share the same server instance could also be impacted.

• python / server:

import os
import subprocess
# Check for the vulnerable file
if os.path.exists('/path/to/fedml/grpc_server.py'): # Replace with actual path
    try:
        result = subprocess.run(['grep', '-i', 'sendMessage', '/path/to/fedml/grpc_server.py'], capture_output=True, text=True, check=True)
        if 'sendMessage' in result.stdout:
            print('Vulnerable file detected.')
        else:
            print('sendMessage function not found.')
    except subprocess.CalledProcessError as e:
        print(f'Error checking file: {e}')
else:
    print('FedML not installed.')

• generic web:

curl -I <fedml_grpc_endpoint> # Check for unusual headers or content types related to serialization

1. 2026-04-05Disclosure

   disclosure

1. आरक्षित2026-04-04
2. प्रकाशित2026-04-05
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-12

चूंकि विक्रेता ने कोई समाधान प्रदान नहीं किया है, इसलिए तत्काल शमन में एक अपडेट जारी होने तक FedML-AI FedML के उपयोग से बचना शामिल है। यदि प्लेटफ़ॉर्म का उपयोग करना आवश्यक है, तो अतिरिक्त सुरक्षा उपायों को लागू करने की अनुशंसा की जाती है, जैसे कि नेटवर्क अलगाव, संदिग्ध गतिविधि के लिए नेटवर्क ट्रैफ़िक की निगरानी और सिस्टम संसाधनों तक पहुंच को सीमित करने के लिए सख्त सुरक्षा नीतियों को लागू करना। नवीनतम सुरक्षा पैच के साथ सिस्टम को अद्यतित रखना और संभावित कमजोरियों की पहचान करने और उन्हें संबोधित करने के लिए नियमित सुरक्षा ऑडिट करना महत्वपूर्ण है। यदि संभव हो तो सुरक्षित विकल्प पर माइग्रेट करने पर विचार करें।