CVE-2025-1550
CVE-2025-1550 · Arbitrary Code Execution via Crafted Keras Config for Model Loading
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
The Keras Model.load_model function permits arbitrary code execution, even with safe_mode=True, through a manually constructed, malicious .keras archive. By altering the config.json file within the archive, an attacker can specify arbitrary Python modules and functions, along with their arguments, to be loaded and executed during model loading.
CVSS 7.3 · Alta · EPSS 2,6% · Código de explotación público · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · python
Productos y versiones afectados
keras
- Versiones
- ≥ 3.0.0, < 3.8.0: Afectada (python)
Actualiza a 3.8.0
keras PyPI
- Versiones
- 3.0.0
- 3.0.1
- 3.0.2
- 3.0.3
- 3.0.4
- 3.0.5
- 3.1.0
- 3.1.1
- 3.2.0
- 3.2.1
- 3.3.0
- 3.3.1
- 3.3.2
- 3.3.3
- 3.4.0
- 3.4.1
- 3.5.0
- 3.6.0
- 3.7.0
- 3.8.0
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 3.0.0, < 3.9.0
Actualiza a 3.9.0
keras PyPI
- Versiones
- 3.0.0
- 3.0.1
- 3.0.2
- 3.0.3
- 3.0.4
- 3.0.5
- 3.1.0
- 3.1.1
- 3.2.0
- 3.2.1
- 3.3.0
- 3.3.1
- 3.3.2
- 3.3.3
- 3.4.0
- 3.4.1
- 3.5.0
- 3.6.0
- 3.7.0
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 3.0.0, < 3.8.0
Actualiza a 3.8.0
keras Ubuntu:18.04:LTS
- Versiones
- 1.0.7-2
- 2.1.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
keras Ubuntu:20.04:LTS
- Versiones
- 2.2.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada