Hugging Face機器人平臺LeRobot存在重大漏洞，未經身分驗證的攻擊者可執行任意程式碼
漏洞詳情
資安公司Resecurity指出，此漏洞的問題源自非同步推論元件PolicyServer，此元件允許攻擊者在未經身分驗證的情況下存取相關連接埠，發送經過序列化處理的惡意酬載，進而執行任意程式碼。
風險評估
- CVSS v4.0風險評為9.3分
- CVSS v3.1評為9.8分
- 屬於重大等級的資安弱點，極具危險性
攻擊途徑
攻擊者可透過SendPolicyInstructions、SendObservations或GetActions等gRPC呼叫，傳送特製的Pickle有效酬載，在伺服器或用戶端執行任意程式碼。
相關資訊與來源
此漏洞為Hugging Face開源機器人平臺LeRobot所揭露，相關技術細節與報告可參考：iThome新聞、The Hacker News、GitHub安全頁面。