Hugging Face Transformers GLM4 における信頼できないデータの逆シリアル化によるリモートコード実行の脆弱性があります。この脆弱性により、リモートの攻撃者が影響を受ける Hugging Face Transformers のインストール環境で任意のコードを実行可能となります。この脆弱性を悪用するには、ターゲットが悪意のあるページを訪問するか、悪意のあるファイルを開くというユーザーの操作が必要です。具体的な欠陥は重みの解析処理に存在します。この問題はユーザー提供データの適切な検証が不足していることに起因し、信頼できないデータの逆シリアル化を引き起こします。攻撃者はこの脆弱性を利用して現在のプロセスのコンテキストでコードを実行できます。以前は ZDI-CAN-28309 として知られていました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。