FedML-AI FedML gRPC server grpc_server.py sendMessage deserialization

Een deserialisatie-kwetsbaarheid is geïdentificeerd in FedML-AI FedML tot versie 0.8.9, specifiek in de functie sendMessage van het bestand grpc_server.py van de gRPC server component. Deze kwetsbaarheid stelt een externe aanvaller in staat om willekeurige code uit te voeren op het getroffen systeem door kwaadaardig opgebouwde berichten te verzenden. De ernst van de kwetsbaarheid wordt beoordeeld als CVSS 7.3, wat een matig hoog risico aangeeft. Het gebrek aan reactie van de leverancier op vroege openbaarmakingen verergert de situatie, waardoor gebruikers onbeschermd achterblijven zonder een officiële oplossing. Een succesvolle exploitatie kan de vertrouwelijkheid, integriteit en beschikbaarheid van FedML-gegevens en -systemen in gevaar brengen.

Organizations utilizing FedML for machine learning tasks, particularly those deploying it in cloud environments or exposing it to external networks, are at significant risk. Environments with limited security controls or those relying on older, unpatched versions of FedML are especially vulnerable. Shared hosting environments where multiple users share the same server instance could also be impacted.

• python / server:

import os
import subprocess
# Check for the vulnerable file
if os.path.exists('/path/to/fedml/grpc_server.py'): # Replace with actual path
    try:
        result = subprocess.run(['grep', '-i', 'sendMessage', '/path/to/fedml/grpc_server.py'], capture_output=True, text=True, check=True)
        if 'sendMessage' in result.stdout:
            print('Vulnerable file detected.')
        else:
            print('sendMessage function not found.')
    except subprocess.CalledProcessError as e:
        print(f'Error checking file: {e}')
else:
    print('FedML not installed.')

• generic web:

curl -I <fedml_grpc_endpoint> # Check for unusual headers or content types related to serialization

1. 2026-04-05Disclosure

   disclosure

1. Gereserveerd2026-04-04
2. Gepubliceerd2026-04-05
3. Gewijzigd2026-04-06
4. EPSS bijgewerkt2026-04-12

Gezien het gebrek aan een oplossing van de leverancier, omvat de onmiddellijke mitigatie het vermijden van het gebruik van FedML-AI FedML totdat een update wordt uitgebracht. Als het gebruik van het platform essentieel is, wordt het aanbevolen om aanvullende beveiligingsmaatregelen te implementeren, zoals netwerkisolatie, het monitoren van netwerkverkeer op verdachte activiteiten en het afdwingen van strikte beveiligingsbeleid om de toegang tot systeemresources te beperken. Het is cruciaal om systemen up-to-date te houden met de nieuwste beveiligingspatches en regelmatige beveiligingsaudits uit te voeren om potentiële kwetsbaarheden te identificeren en aan te pakken. Overweeg te migreren naar een veilig alternatief indien mogelijk.