Von Shachar Menashe, VP Security Research bei JFrog

Das Research-Team von JFrog hat kürzlich 22 neue Schwachstellen in Machine-Learning-Projekten entdeckt und analysiert. Während der Fokus des ersten Blogbeitrags Anfang November auf serverseitigen Schwachstellen lag, beleuchtet der Anfang Dezember veröffentlichte zweite Beitrag die Risiken auf der Client-Seite sowie in Libraries, die ML-Modelle sicher verarbeiten sollen.

Gefährdung durch Client-seitige Schwachstellen

Zu den identifizierten Schwachstellen zählen solche in ML-Clients, etwa Tools, die von Datenwissenschaftlern oder ML-CI/CD-Pipelines (MLOps) genutzt werden. Diese Schwachstellen können es Angreifern ermöglichen, ML-Clients zu kompromittieren, die oft Zugang zu wichtigen Diensten wie Modellregistern oder MLOps-Pipelines haben. Eine einzige Infektion kann durch Post-Exploitation-Techniken zu umfassenden Netzwerkzugriffen führen.

Risiken in scheinbar sicheren ML-Libraries

Auch Libraries, die für die Verarbeitung „sicherer“ ML-Modelle ohne Code-Ausführung gedacht sind, weisen Schwachstellen auf. Angreifer könnten über manipulierte Modelle Hintertüren einbauen oder weiteren Schaden anrichten, insbesondere wenn sie Zugriff auf ML-Server erhalten.

Vorgestellte Schwachstellen im Detail

Der Blogbeitrag beschreibt mehrere konkrete Sicherheitslücken:

• MLflow Recipe XSS to Code Execution (CVE-2024-27132) Diese Schwachstelle ermöglicht es, beliebigen JavaScript-Code auf einem ML-Client auszuführen, der manipulierte Dateien lädt. Wird JupyterLab verwendet, kann dies zu vollständiger Code-Ausführung eskalieren.
• H2O Code Execution via Malicious Model Deserialization (CVE-2024-6960) Durch diese Schwachstelle können Angreifer auf der H2O-Plattform beliebigen Code ausführen, wenn nicht vertrauenswürdige ML-Modelle importiert werden.
• Path Traversal Arbitrary File Overwrite (PyTorch „weights_only“) Eine Schwachstelle in TorchScript erlaubt es, beliebige Dateien zu überschreiben – selbst bei Nutzung des sicheren Arguments weights_only=True.
• MLeap ZipSlip Arbitrary File Overwrite (CVE-2023-5245) Eine Directory-Traversal-Schwachstelle in MLeap kann zu Dateibeschädigungen und potenzieller Code-Ausführung führen.

Um Risiken zu minimieren, empfiehlt das JFrog-Team, keine nicht-vertrauenswürdigen ML-Modelle zu laden – auch nicht in scheinbar sicheren Formaten wie Safetensors. Unternehmen sollten ihre ML-Nutzer für die Gefahren sensibilisieren und Sicherheitsrichtlinien entsprechend anpassen.