Lỗ hổng RCE nghiêm trọng trong LeRobot đe dọa hệ thống AI và robot

[WhiteHat Team]

Các nhà nghiên cứu an ninh mạng vừa công bố một lỗ hổng nghiêm trọng trong LeRobot, nền tảng robot mã nguồn mở do Hugging Face phát triển. CVE này cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực, ảnh hưởng trực tiếp đến máy chủ AI và các thiết bị robot kết nối.
​

Lỗ hổng mang mã CVE-2026-25874, điểm CVSS 9.3, xuất phát từ cách LeRobot xử lý dữ liệu trong pipeline suy luận bất đồng bộ. Hệ thống sử dụng pickle.loads() để giải tuần tự hóa dữ liệu nhận qua các kênh gRPC không xác thực và không được mã hóa TLS. Điều này khiến dữ liệu từ bên ngoài mạng được đưa trực tiếp vào quá trình xử lý, tạo điều kiện cho việc chèn và thực thi mã độc.

Kẻ tấn công có thể gửi payload pickle được chế tạo sẵn thông qua các lời gọi như SendPolicyInstructions, SendObservations hoặc GetActions. Khi PolicyServer hoặc Robot Client tiếp nhận và xử lý dữ liệu, mã độc sẽ được kích hoạt và thực thi trực tiếp trên hệ thống đích.

Theo công ty an ninh mạng Resecurity, CVE-2026-25874 tập trung ở PolicyServer, thành phần xử lý suy luận AI của hệ thống. Nếu cổng dịch vụ này bị lộ ra bên ngoài, kẻ tấn công có thể gửi dữ liệu độc hại và thực thi lệnh hệ điều hành trực tiếp trên máy chủ.

Rủi ro được đánh giá ở mức cao do các hệ thống AI thường vận hành với đặc quyền lớn, cho phép truy cập vào nhiều tài nguyên quan trọng trong hệ thống. Khi bị khai thác, kẻ tấn công có thể chiếm quyền máy chủ, đánh cắp API key, thông tin SSH và các tệp mô hình AI. Sau khi kiểm soát được hệ thống, chúng có thể tiếp tục sử dụng máy chủ như một điểm trung gian để mở rộng tấn công sang các hệ thống khác trong mạng nội bộ. Trong các môi trường có robot vật lý, việc bị chiếm quyền còn có thể ảnh hưởng trực tiếp đến an toàn vận hành.

Nhà nghiên cứu Valentin Lobstein thuộc VulnCheck xác nhận có thể khai thác CVE này trên phiên bản 0.4.3. CVE-2026-25874 hiện chưa được vá, bản sửa dự kiến phát hành trong phiên bản 0.6.0. Lỗ hổng này từng được báo cáo từ cuối năm 2025 bởi một nhà nghiên cứu khác. Nhóm phát triển thừa nhận phần mã liên quan mang tính thử nghiệm và cần được viết lại gần như toàn bộ.

Phát hiện này tiếp tục cho thấy rủi ro khi sử dụng định dạng pickle. Chỉ cần xử lý dữ liệu được chế tạo sẵn, hệ thống có thể bị thực thi mã ngoài ý muốn. Đáng chú ý, Hugging Face từng phát triển Safetensors như một giải pháp thay thế an toàn hơn cho pickle. Tuy vậy, trong LeRobot, cơ chế cũ vẫn được sử dụng. Ngoài ra, các cảnh báo từ công cụ phân tích mã đã bị vô hiệu hóa bằng chú thích “# nosec”, thay vì được xử lý hoặc loại bỏ rủi ro.

Để giảm thiểu rủi ro, các quản trị viên cần hạn chế để lộ cổng gRPC ra internet, chỉ cho phép truy cập thông qua firewall hoặc VPN, đồng thời theo dõi các tiến trình và hành vi bất thường trên hệ thống.
​

Theo The Hacker New​