FedML-AI FedML gRPC 服务器 grpc_server.py sendMessage 反序列化漏洞

在FedML-AI FedML的0.8.9版本及更早版本中，已发现一种反序列化漏洞，具体位于gRPC服务器组件的grpc_server.py文件的sendMessage函数中。该漏洞允许远程攻击者通过发送恶意构造的消息，在受影响的系统上执行任意代码。该漏洞的严重程度评分为CVSS 7.3，表明存在中等至高风险。供应商对早期披露通知的未响应加剧了这一情况，使用户在没有官方修复的情况下暴露于风险之中。攻击成功可能导致FedML数据和系统的机密性、完整性和可用性受损。

Organizations utilizing FedML for machine learning tasks, particularly those deploying it in cloud environments or exposing it to external networks, are at significant risk. Environments with limited security controls or those relying on older, unpatched versions of FedML are especially vulnerable. Shared hosting environments where multiple users share the same server instance could also be impacted.

• python / server:

import os
import subprocess
# Check for the vulnerable file
if os.path.exists('/path/to/fedml/grpc_server.py'): # Replace with actual path
    try:
        result = subprocess.run(['grep', '-i', 'sendMessage', '/path/to/fedml/grpc_server.py'], capture_output=True, text=True, check=True)
        if 'sendMessage' in result.stdout:
            print('Vulnerable file detected.')
        else:
            print('sendMessage function not found.')
    except subprocess.CalledProcessError as e:
        print(f'Error checking file: {e}')
else:
    print('FedML not installed.')

• generic web:

curl -I <fedml_grpc_endpoint> # Check for unusual headers or content types related to serialization

1. 2026-04-05Disclosure

   disclosure

1. 已保留2026-04-04
2. 发布日期2026-04-05
3. 修改日期2026-04-06
4. EPSS 更新日期2026-04-12

鉴于供应商尚未提供解决方案，当前的缓解措施是避免使用FedML-AI FedML，直到发布更新。如果必须使用该平台，建议实施额外的安全措施，例如网络隔离、监控网络流量以检测可疑活动以及实施严格的安全策略以限制对系统资源的访问。保持系统使用最新的安全补丁并定期进行安全审计以识别和解决潜在漏洞至关重要。如果可行，请考虑迁移到更安全的替代方案。