LeRobot: Unsichere Deserialisierung in der Async-Inference-Pipeline

Beschreibung

In LeRobot bis einschliesslich Version 0.5.1 besteht eine unsichere Deserialisierung in der Async-Inference-Pipeline: Über einen nicht authentifizierten gRPC-Kanal empfangene Daten werden mit pickle.loads() deserialisiert, wodurch ein Angreifer aus dem Netzwerk beliebigen Code ausführen kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 15.5 %. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren, sobald verfügbar, und den gRPC-Endpunkt nicht ungeschützt exponieren.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage