CVE-2026-49950
Vulnérabilité critique dans xoscar (xorbitsai)
CVSS 9.8 · Critique
EPSS 0.6%
xorbitsai•xoscar•Versions : 0.1.0, <=0.11.2
Description
Xorbits Xoscar through 0.11.2 contains an unauthenticated deserialization vulnerability that allows remote attackers to execute arbitrary code by sending crafted data over the actor-pool TCP channel. Attackers can exploit SocketChannel.recv() passing unvalidated data to cloudpickle.loads(), which triggers pickle __reduce__ gadget execution before message type validation, achieving remote code execution as the server process which commonly runs as root on GPU nodes.
Gravité et risque d'exploitation
CVE-2026-49950 obtient un score CVSS de 9.8/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.63 %, ce qui la place devant 49.3 % des CVE référencées.
Que faire ?
- Vérifiez si xoscar (versions 0.1.0, <=0.11.2) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/xorbitsai/xoscar/blob/v0.11.2/python/xoscar/serialization/core.pyx#L260
- https://github.com/xorbitsai/xoscar/blob/v0.11.2/python/xoscar/backends/communication/socket.py#L99-L104
- https://www.vulncheck.com/advisories/xorbits-xoscar-unauthenticated-deserialization-rce-via-actor-pool
- https://www.vulncheck.com/blog/xorbits-xoscar-unauth-cloudpickle-rce