Vulnerabilidad en Hugging Face Transformers (CVE-2025-3264)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

07/07/2025

Última modificación:

07/08/2025

Descripción

Se descubrió una vulnerabilidad de denegación de servicio por expresión regular (ReDoS) en la librería Hugging Face Transformers, específicamente en la función `get_imports()` de `dynamic_module_utils.py`. Esta vulnerabilidad afecta a la versión 4.49.0 y se corrigió en la versión 4.51.0. El problema surge de un patrón de expresión regular `\s*try\s*:.*?except.*?:` utilizado para filtrar bloques try/except del código Python, que puede explotarse para causar un consumo excesivo de CPU mediante cadenas de entrada manipuladas debido a un retroceso catastrófico. Esta vulnerabilidad puede provocar interrupciones en la carga remota de código, agotamiento de recursos en la entrega de modelos, vectores de ataque a la cadena de suministro e interrupciones en el flujo de trabajo de desarrollo.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Bajo