Phát hiện lỗ hổng bảo mật trong công cụ học sâu Keras

Báo cáo mới đây của hãng bảo mật Zscaler cho biết, một lỗ hổng trong thư viện mã nguồn mở Keras có thể cho phép kẻ tấn công tải các tệp cục bộ tùy ý hoặc thực hiện các cuộc tấn công SSRF.

Cung cấp Python interface cho mạng nơ-ron nhân tạo, Keras là API học sâu có thể được sử dụng để xây dựng các mô hình trí tuệ nhân tạo (AI) hoạt động với JAX, TensorFlow và PyTorch.

Với mã định danh CVE-2025-12058 (điểm CVSS: 5.9), lỗ hổng có mức độ nghiêm trọng trung bình này tồn tại liên quan các lớp xử lý trước StringLookup và IndexLookup của thư viện, cho phép sử dụng đường dẫn tệp hoặc URL làm đầu vào để xác định từ vựng.

Khi Keras tái tạo các lớp bằng cách tải một mô hình tuần tự hóa, nó sẽ truy cập các đường dẫn tệp được tham chiếu trong quá trình hủy tuần tự hóa mà không cần xác thực hoặc hạn chế thích hợp, đồng thời kết hợp nội dung của các tệp được chỉ định vào trạng thái mô hình.

Hãng bảo mật Zscaler giải thích: “Điều này có nghĩa là ngay cả khi các tính năng bảo mật như safe_mode được bật, một mô hình độc hại vẫn có thể chỉ thị cho Keras truy cập các tệp cục bộ hoặc URL bên ngoài trong thời gian tải, làm lộ dữ liệu nhạy cảm hoặc cho phép các yêu cầu mạng từ xa”.

Theo các nhà nghiên cứu, hành vi này sẽ bypass quá trình hủy tuần tự hóa an toàn, cho phép kẻ tấn công đọc các tệp cục bộ tùy ý, đánh cắp thông tin thông qua các từ vựng và thực hiện các cuộc tấn công SSRF.

Trong các tình huống thực tế, kẻ tấn công có thể khai thác lỗ hổng bằng cách tải lên kho lưu trữ công khai các mô hình Keras độc hại với các tham số từ vựng được thiết kế đặc biệt, chẳng hạn như các mô hình nhắm mục tiêu vào khóa SSH.

Khi nạn nhân tải xuống, trong quá trình giải tuần tự hóa, khóa bí mật SSH của họ sẽ được đọc vào từ vựng của mô hình. Kẻ tấn công có thể lấy lại khóa bằng cách tải lại mô hình hoặc thông qua việc trích xuất từ khóa đó.

Zscaler cho biết: “Tác động tiềm ẩn của sự cố này dẫn đến xâm phạm hoàn toàn quyền truy cập SSH của nạn nhân vào máy chủ, kho lưu trữ mã nguồn và cơ sở hạ tầng đám mây. Kẻ tấn công có thể chuyển sang xâm nhập chủ động bằng sao chép kho lưu trữ riêng tư, chèn backdoor hoặc nội dung độc hại vào CI/CD, thực thi mã trong môi trường production và di chuyển ngang hàng”.

Lỗ hổng đã được khắc phục trong Keras phiên bản 3.11.4 bằng cách nhúng các tệp từ vựng trực tiếp vào kho lưu trữ Keras và tải chúng từ kho lưu trữ khi khởi tạo. Lỗ hổng cũng không cho phép tải các tệp từ vựng tùy ý khi bật chế độ an toàn.