LMDeployは、LLMの圧縮、デプロイ、およびサービングのためのツールキットです。バージョン0.11.1より前のlmdeployには、torch.load()がmodel checkpointファイルを読み込む際にweights_only=Trueパラメータなしで呼び出される不安全なデシリアライゼーションの脆弱性が存在していました。この脆弱性により、攻撃者が悪意のある.binや.ptモデルファイルを読み込ませた場合、被害者のマシン上で任意のコードが実行されてしまいます。本問題はバージョン0.11.1で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。