Hugging Face Datasets: Unsichere Deserialisierung im pandas-Builder
Zusammenfassung
Hugging Face Datasets bis und mit Version 5.1.0 deserialisiert Pickle-Dateien im veralteten pandas-Builder ohne Validierung. Ein Angreifer, der ein Opfer dazu bringt, einen manipulierten, auf Pickle basierenden Datensatz über datasets.load_dataset("pandas", data_files=...) zu laden, kann beliebigen Python-Code mit den Rechten des Opfer-Prozesses ausführen. Der CVSS-4.0-Score beträgt 8.7 (Hoch), und eine Benutzerinteraktion ist erforderlich.
Betroffen
- Python-Bibliothek Hugging Face datasets, Versionen 0 bis 5.1.0 (gemäss CNA-Eintrag)
- Betroffener Pfad: pandas-Builder, verwendet über datasets.load_dataset("pandas", data_files=...)
Behoben in
Unbekannt. Ein Fix-Vorschlag existiert (Pull Request #8879 im Repository huggingface/datasets), aber es wurde keine zusammengeführte oder veröffentlichte Fixversion bestätigt.
Umgehung
- Daten nicht mit dem pandas-Builder aus Dateien laden, die Sie nicht selbst erstellt haben
- Nicht vertrauenswürdige Datensätze nur in isolierten Umgebungen ohne Zugangsdaten oder sensitive Daten laden
Ausnutzung
- Im Repository des Melders ist ein öffentlicher Proof of Concept verfügbar, inklusive Demo-Video.
- Es gibt keine Hinweise, dass die Schwachstelle aktiv ausgenutzt wird.
- Die Quellen widersprechen sich: VulDB meldet keinen verfügbaren Exploit, während PT/Vulners einen GitHub-Exploit-Eintrag auflistet.
Unsere Empfehlung
- Code und Notebooks nach load_dataset-Aufrufen mit "pandas" durchsuchen und die installierte datasets-Version prüfen.
- pandas-Builder wo möglich entfernen oder vermeiden; stattdessen Formate wie Parquet, Arrow, CSV oder JSON verwenden.
- Fremde Datensätze nur aus vertrauenswürdigen Quellen laden, idealerweise in isolierten Umgebungen.
- Auf eine offizielle Fixversion achten und datasets sofort aktualisieren, sobald eine verfügbar ist.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
SaiTeja-Erukude/CVE-2026-57845-hf-datasets-rce
Quellen der Recherche
- Proof of concept and write-up (reporter repository) github.com
- Proposed fix: Pull Request #8879 (huggingface/datasets) github.com
- VulnCheck advisory www.vulncheck.com
- Vulners NVD record (CVSS 8.8 entry) vulners.com
- VulDB entry (exploit status) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.