CVE-2026-57845

Beschreibung

Hugging Face Datasets durch 5.1.0 enthält eine unsichere Deserialisierungslücke, die es Angreifern ermöglicht, willkürlichen Python-Code auszuführen, indem sie eine bösartige Pickle-Datei erstellen, die über den veralteten Pandas-Paket-Builder geladen wird. Angreifer können einen Pickle-gestützten Datensatz bereitstellen, der von Pandas. generate tables über pandas.read pickle() ohne Validierung verarbeitet wird, so dass, wenn ein Opfer datasets.load dataset("pandas", data files=...) aufruft, die eingebettete reduce Payload Code mit den Privilegien des Opferprozesses ausführt.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.