Podatności Diffusers

W bibliotece Diffusers do wersji 0.39.0 wykryto podatność na path traversal w funkcji _get_checkpoint_shard_files. Atakujący może dostarczyć złośliwe wartości weight_map w pliku JSON modelu, zawierające sekwencje ../ lub ścieżki absolutne, co umożliwia odczyt plików safetensors poza zamierzonym katalogiem.

Podatność w bibliotece Diffusers przed wersją 0.38.0 umożliwia ominięcie zabezpieczenia trust_remote_code. Mechanizm download() weryfikuje plik model_index.json i kod potoku, ale później ładuje dane z buforowanego folderu, który może ulec zmianie, co pozwala na wykonanie złośliwego kodu .py z repozytorium Hub bez wymagania parametru trust_remote_code=True.

W diffusers przed wersją 0.38.0 funkcja `_resolve_custom_pipeline_and_cls` domyślnie interpoluje `custom_pipeline` jako `None.py`, co pozwala na pobranie i wykonanie złośliwego pliku z repozytorium Hugging Face Hub podczas standardowego wywołania `from_pretrained()`. Mechanizm omija zabezpieczenie `trust_remote_code=True`, umożliwiając ciche zdalne wykonanie kodu.

Biblioteka Diffusers przed wersją 0.38.0 zawiera podatność umożliwiającą ominięcie zabezpieczenia trust_remote_code. Atakujący może zdalnie wykonać dowolny kod, nawet gdy parametr trust_remote_code jest ustawiony na False lub pominięty. Problem wynika z błędnej implementacji mechanizmu weryfikacji w funkcji download(), który można ominąć przez alternatywne ścieżki kodu.