PT-2026-3014 · Google · Keras

Sarvesh Patil · Publicado 2026-01-15 · Atualizado 2026-05-06 · CVE-2026-0897

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Keras de 3.0.0 a 3.13.0

Descrição Existe uma falha no componente de carregamento de pesos HDF5 do Keras que permite uma negação de serviço. Um atacante pode fornecer um arquivo .keras manipulado contendo um arquivo model.weights.h5 válido. Este arquivo declara uma forma extremamente grande, levando à exaustão de memória e à falha do interpretador Python. O problema afeta todas as plataformas.

Recomendações Atualize o Keras para uma versão superior a 3.13.0.

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

AZL-74631

CVE-2026-0897

GHSA-MGX6-5CF9-RR43

GHSA-XFHX-R7WW-5995

PYSEC-2026-73

Produtos afetados

Keras

Referências · 19

• https://github.com/keras-team/keras/pull/21880 · Correção
• https://github.com/keras-team/keras · Nota
• https://github.com/keras-team/keras/security/advisories/GHSA-mgx6-5cf9-rr43 · Nota
• https://github.com/keras-team/keras/pull/22081 · Nota
• https://github.com/keras-team/keras/commit/f704c887bf459b42769bfc8a9182f838009afddb · Nota
• https://github.com/keras-team/keras/commit/7360d4f0d764fbb1fa9c6408fe53da41974dd4f6 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/keras/PYSEC-2026-73.yaml · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-0897 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-0897 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-0897 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-0897 · Nota de Segurança
• https://osv.dev/vulnerability/AZL-74631 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2026-0897 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-0897 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2011926120061624729 · Publicação no Twitter