FedML-AI FedML Deserialização no servidor gRPC grpc_server.py sendMessage

Uma vulnerabilidade de deserialização foi identificada no FedML-AI FedML até a versão 0.8.9, especificamente na função sendMessage do arquivo grpc_server.py do componente servidor gRPC. Essa vulnerabilidade permite que um atacante remoto execute código arbitrário no sistema afetado, enviando mensagens maliciosamente elaboradas. A severidade da vulnerabilidade é classificada como CVSS 7.3, indicando um risco moderadamente alto. A falta de resposta do fornecedor às notificações antecipadas de divulgação agrava a situação, deixando os usuários expostos sem uma solução oficial. A exploração bem-sucedida pode comprometer a confidencialidade, integridade e disponibilidade dos dados e sistemas FedML.

Organizations utilizing FedML for machine learning tasks, particularly those deploying it in cloud environments or exposing it to external networks, are at significant risk. Environments with limited security controls or those relying on older, unpatched versions of FedML are especially vulnerable. Shared hosting environments where multiple users share the same server instance could also be impacted.

• python / server:

import os
import subprocess
# Check for the vulnerable file
if os.path.exists('/path/to/fedml/grpc_server.py'): # Replace with actual path
    try:
        result = subprocess.run(['grep', '-i', 'sendMessage', '/path/to/fedml/grpc_server.py'], capture_output=True, text=True, check=True)
        if 'sendMessage' in result.stdout:
            print('Vulnerable file detected.')
        else:
            print('sendMessage function not found.')
    except subprocess.CalledProcessError as e:
        print(f'Error checking file: {e}')
else:
    print('FedML not installed.')

• generic web:

curl -I <fedml_grpc_endpoint> # Check for unusual headers or content types related to serialization

1. 2026-04-05Disclosure

   disclosure

1. Reservado2026-04-04
2. Publicada2026-04-05
3. Modificada2026-04-06
4. EPSS atualizado2026-04-12

Dado que o fornecedor não forneceu uma solução, a mitigação imediata envolve evitar o uso do FedML-AI FedML até que uma atualização seja lançada. Se for essencial usar a plataforma, é recomendável implementar medidas de segurança adicionais, como isolamento de rede, monitoramento do tráfego de rede em busca de atividades suspeitas e aplicação de políticas de segurança rigorosas para limitar o acesso aos recursos do sistema. É crucial manter os sistemas atualizados com os últimos patches de segurança e realizar auditorias de segurança periódicas para identificar e abordar possíveis vulnerabilidades. Considere migrar para uma alternativa segura, se possível.