CVE-2025-27520: Lỗ hổng nghiêm trọng trong BentoML cho phép thực thi mã từ xa

[WhiteHat Team]

Lỗ hổng bảo mật nghiêm trọng được theo dõi với mã CVE-2025-27520 (CVSS: 9.8), đã được phát hiện trong phiên bản mới nhất (v1.4.2) trong thư viện Python BentoML. Lỗ hổng này, cho phép kẻ tấn công không xác thực thực thi mã từ xa (Remote Code Execution - RCE) trên máy chủ thông qua một lỗi insecure deserialization.

Đoạn mã bị lỗi (file serde.py) sử dụng pickle.loads() để giải mã dữ liệu từ HTTP request mà không kiểm tra, dẫn đến RCE.

Ảnh hưởng: Chiếm quyền điều khiển hệ thống; Đánh cắp dữ liệu; Tấn công từ chối dịch vụ (DoS); Cài mã độc

Nếu bị khai thác thành công, lỗ hổng này có thể dẫn đến:

• Toàn bộ hệ thống bị xâm nhập
• Mất mát hoặc rò rỉ dữ liệu
• Tấn công từ chối dịch vụ (DoS)
• Cài đặt mã độc hoặc phần mềm gián điệp

PoC (proof-of-concept) đã được công bố, làm tăng nguy cơ bị khai thác.

️ Các phiên bản bị ảnh hưởng: Từ phiên bản 1.3.4 đến trước phiên bản 1.4.3

️ Biện pháp khắc phục:

Người dùng nên nâng cấp ngay lập tức lên phiên bản đã được vá lỗi: BentoML v1.4.3. Vì đây là một lỗ hổng nghiêm trọng với khả năng bị khai thác cao, tất cả người dùng BentoML nên cập nhật lên phiên bản 1.4.3 càng sớm càng tốt để tránh nguy cơ bị tấn công và chiếm quyền kiểm soát hệ thống.

Theo Security Online​