关键漏洞信息 漏洞标题 Python sandbox escape leading to Remote Code Execution (RCE) in huggingface/transformers 漏洞类型 Remote Code Execution (RCE) 影响范围 受影响版本: transformers = 4.27.0 漏洞描述 Smolagents 的 Python sandbox 逃逸导致远程代码执行。 库中的 模块包含的 代码存在一个沙箱逃逸漏洞，攻击者可以利用此漏洞在目标系统上执行任意代码。 根因分析 代码使用了不安全的 AST 解析和动态模块加载机制，允许攻击者通过构造恶意输入来绕过沙箱限制并执行任意代码。 利用方式 1. 构造恶意输入，使 解析器生成特定的 AST。 2. 利用动态模块加载机制，加载并执行恶意代码。 影响 未经授权的代码执行 数据泄露（源代码、密钥等） 系统控制权丢失 参考链接 GitHub 安全报告 CVE-2022-42809 ``` 这些信息总结了漏洞的关键细节，包括其类型、影响范围、根本原因、利用方式以及可能的影响，并提供了相关参考链接以便进一步研究。