무슨 일이 있었나
CVE-2026-119120 / GHSA-f856-7xp9-w3cc: Crawl4AI Docker API 서버가 신뢰할 수 없는 요청 본문의 CosineStrategy.model_name 필드를 필터링하지 않습니다. 인증된 클라이언트가 서버가 AutoTokenizer/AutoModel.from_pretrained를 통해 임의 HuggingFace 모델 저장소를 다운로드하고 로드하도록 만들 수 있습니다. PyTorch 2.6 미만(CVE-2025-32434 수정 이전) 배포에서는 해당 저장소의 조작된 .bin pickle 가중치 파일이 서버 프로세스에서 임의 Python을 실행합니다; 더 새로운 PyTorch에서는 클라이언트가 여전히 서버가 메모리에 모델을 다운로드하고 유지하도록 강제하여 디스크/메모리를 고갈시킬 수 있습니다. 0.9.5에서 수정되었습니다.
왜 중요한가
모델 서빙 크롤러 엔드포인트가 코드 실행 표면이 됩니다: 인증된 호출자가 모델을 선택하고 악성 저장소가 환경 변수(LLM 제공자 키) 및 접근 가능한 파일에 접근할 수 있는 서버 프로세스에서 실행됩니다. AI 배포에서는 직접적인 모델 로딩 RCE 경로입니다.
공격 경로
extraction_strategy CosineStrategy 및 공격자 model_name을 사용하여 /crawl 요청을 보냅니다; 서버가 선택된 HF 저장소를 다운로드하고 로드하여 PyTorch <2.6에서 pickle 페이로드를 실행합니다.
영향받는 시스템
Crawl4AI 0.9.0 이상 0.9.5 미만 (Docker 서버 with CosineStrategy/model_name).
완화 방안
0.9.5로 업그레이드하십시오 (신뢰할 수 없는 본문이 더 이상 model_name을 설정할 수 없음); PyTorch를 2.6 이상으로 업그레이드하십시오; 프록시에서 model_name을 포함한 요청 본문을 거부하십시오; HF 캐시를 미리 채우고 HF_HUB_OFFLINE=1을 설정하십시오.