🟠 CVE-2026-9856: High Schwachstelle

„`html

Zusammenfassung

Eine kritische Path-Traversal-Schwachstelle in Hugging Face Transformers (Versionen ≤5.8.0.dev0) ermöglicht Angreifern, beliebige Dateien auf Zielsystemen zu schreiben. Die Vulnerability betrifft die save_pretrained()-Methoden in PreTrainedTokenizerBase und ProcessorMixin. Durch manipulierte tokenizer_config.json-Dateien in böswilligen Hub-Repositories können Angreifer Dateien außerhalb des vorgesehenen Verzeichnisses platzieren.

Betroffene Systeme

Vulnerable Versionen: huggingface/transformers ≤5.8.0.dev0

Betroffene Komponenten:

• PreTrainedTokenizerBase
• ProcessorMixin und abgeleitete Prozessoren
• Idefics, Florence, Gemma, Phi, Qwen-VL Processor-Implementierungen

Technische Details

Die Vulnerability basiert auf unzureichender Input-Validierung in der save_pretrained()-Methode. Schlüssel aus dem chat_template-Dictionary der tokenizer_config.json werden direkt als Dateinamen verwendet, ohne Pfad-Traversal-Überprüfungen durchzuführen.

Angriffsablauf:

1. Angreifer erstellt manipulierte tokenizer_config.json mit Path-Traversal-Sequenzen (z.B. ../../../) in Dictionary-Schlüsseln
2. Böswillige Konfiguration wird im Hub-Repository veröffentlicht
3. Opfer lädt das Modell herunter und ruft save_pretrained() auf
4. Dateien werden außerhalb des Zielverzeichnisses geschrieben
5. Potentielle Remote Code Execution durch Überschreiben kritischer Systemdateien

Empfohlene Massnahmen

• Sofortmaßnahmen: Aktualisierung auf eine gepatchte Version durchführen
• Input-Validierung für Dateinamen implementieren
• Nur vertrauenswürdige Repositories und Modelle nutzen
• Audits von heruntergeladenen Konfigurationsdateien durchführen
• Systeme auf verdächtige Dateioperationen überwachen

Bewertung

CVSS v3.1 Score: 7.1 (High)

Die Schwachstelle stellt ein erhebliches Risiko dar, ermöglicht Dateimanipulation und potenziell Systemkompromittierung. Der Network-Angriffsvektor und niedrige Komplexität erfordern prompte Patching-Maßnahmen.

„`