Ricercatori di cybersecurity hanno scoperto vulnerabilità critiche di esecuzione remota di codice che colpiscono i principali motori di inferenza per intelligenza artificiale (IA), inclusi quelli di Meta, Nvidia, Microsoft e progetti open source come vLLM e SGLang.
“Queste vulnerabilità hanno tutte la stessa causa principale: l’uso insicuro trascurato di ZeroMQ (ZMQ) e della deserializzazione con Python pickle,” ha spiegato Avi Lumelsky, ricercatore di Oligo Security, in un rapporto pubblicato giovedì.
Alla base, il problema deriva da un modello chiamato ShadowMQ, in cui la logica di deserializzazione insicura si è diffusa in diversi progetti a causa del riutilizzo del codice.
La causa originale è una vulnerabilità nel framework del modello linguistico di grandi dimensioni di Meta, Llama (CVE-2024-50050, punteggio CVSS: 6.3/9.3), già corretta da Meta lo scorso ottobre. Il problema riguardava l’uso del metodo ZeroMQ recv_pyobj() per deserializzare dati in ingresso con il modulo Python pickle.
Poiché il framework esponeva la socket ZeroMQ in rete, un attaccante poteva eseguire codice arbitrario inviando dati malevoli per la deserializzazione. Problema simile è stato rilevato anche in altre librerie come NVIDIA TensorRT-LLM, Microsoft Sarathi-Serve, Modular Max Server, vLLM e SGLang.
Tutti questi presentavano uno schema quasi identico di deserializzazione pickle su socket TCP ZMQ non autenticati, un errore commesso da sviluppatori di diverse aziende.
Oligo ha scoperto che in molti casi si tratta di copie dirette di codice vulnerabile, che ha quindi propagato la falla in più progetti.
Le vulnerabilità identificate includono:
-
CVE-2025-30165 (punteggio CVSS 8.0) – vLLM (non ancora risolta ma mitigata con cambio di motore predefinito)
-
CVE-2025-23254 (punteggio CVSS 8.8) – NVIDIA TensorRT-LLM (corretta nella versione 0.18.2)
-
CVE-2025-60455 – Modular Max Server (corretta)
-
Sarathi-Serve (non ancora corretta)
-
SGLang (correzioni incomplete)
Con i motori di inferenza AI fondamentali per le infrastrutture IA, la compromissione di un singolo nodo potrebbe consentire a un attaccante di eseguire codice arbitrario su tutto il cluster, ottenere privilegi elevati, rubare modelli e installare payload dannosi come miner di criptovalute per profitto illecito.
“Il ritmo di sviluppo è incredibile e spesso si riutilizzano componenti architetturali tra progetti,” ha detto Lumelsky. “Ma quando il codice riutilizzato include schemi insicuri, le conseguenze si propagano rapidamente.”
Il rapporto evidenzia inoltre rischi di attacchi tramite JavaScript injection nel nuovo browser integrato di Cursor, che può essere manipolato per intercettare credenziali tramite pagine di login fasulle e altre tecniche di compromissione.
Dato che l’editor di codice IA è basato su Visual Studio Code, un attaccante potrebbe creare estensioni malevoli per inserire codice JavaScript nella sessione attiva, ottenendo pieno controllo del sistema dell’utente.
“La disponibilità di esecuzione a livello di interprete JS permette di trasformare l’IDE in una piattaforma di distribuzione malware e di esfiltrazione dati,” avvertono i ricercatori.
Per contrastare questi rischi, si raccomanda di disabilitare le funzioni di esecuzione automatica, verificare attentamente le estensioni installate, usare solo server MCP da fonti affidabili e controllare i permessi delle API usate.
Fonte (https://thehackernews.com/2025/11/researchers-find-serious-ai-bugs.html)
