BentoML é uma biblioteca Python para construir sistemas de serviço online otimizados para aplicações de IA e inferência de modelos. Anterior à versão 1.4.37, o campo `docker.system_packages` em `bentofile.yaml` aceita strings arbitrárias que são interpoladas diretamente em comandos `RUN` do Dockerfile sem sanitização. Como `system_packages` é semanticamente uma lista de nomes de pacotes do SO (dados), os utilizadores não esperam que os valores sejam interpretados como comandos shell. Um `bentofile.yaml` malicioso consegue a execução arbitrária de comandos durante

CVE-2026-33744 afeta o BentoML em versões anteriores a 1.4.37. A vulnerabilidade reside na forma como o campo docker.system_packages no arquivo bentofile.yaml interpreta strings. Originalmente projetado para especificar uma lista de nomes de pacotes do sistema operacional, este campo permite a injeção de comandos arbitrários. Um atacante pode criar um arquivo bentofile.yaml malicioso contendo comandos shell dentro deste campo. Durante o processo de construção da imagem Docker, esses comandos serão executados diretamente, permitindo a execução remota de código (RCE) no sistema onde a imagem está sendo construída. A severidade do CVSS é 7.8, indicando um risco alto. A falta de sanitização da entrada é a causa principal desta vulnerabilidade.

Organizations deploying AI models using BentoML, particularly those utilizing automated containerization pipelines, are at risk. Shared hosting environments where multiple users can modify bentofile.yaml files are especially vulnerable. Teams relying on older BentoML versions without robust input validation practices are also at increased risk.

• python / container:

find . -name 'bentofile.yaml' -print0 | xargs -0 grep -E 'system_packages:.*(;|\n|\r)'

• python / container: Check for unusual characters or commands within the system_packages field of bentofile.yaml files. • generic web: Review Dockerfile build logs for unexpected command executions during the bentoml containerize process.

1. 2026-03-27Disclosure

   disclosure

1. Reservado2026-03-23
2. Publicada2026-03-27
3. Modificada2026-04-01
4. EPSS atualizado2026-04-03

A solução recomendada é atualizar o BentoML para a versão 1.4.37 ou superior. Esta versão corrige a vulnerabilidade, sanitizando adequadamente a entrada do campo docker.systempackages, evitando a injeção de comandos. Enquanto isso, como medida de mitigação temporária, evite usar o campo docker.systempackages se não for estritamente necessário. Se for necessário, valide e sanitize cuidadosamente qualquer entrada fornecida a este campo antes de incluí-la no arquivo bentofile.yaml. Além disso, restringir as permissões do usuário que está construindo as imagens Docker pode ajudar a limitar o impacto de uma possível exploração. Recomenda-se monitorar a construção de imagens Docker em busca de atividades suspeitas.