CVE-2026-49121: RCE-sårbarhed i AMD Aiter
Sårbarhed i AMD AITER (CVE-2026-49121) giver angribere fjernkodeudførelse uden login. Isolér AI-klyngens netværk nu.
Hvad er det?
CVE-2026-49121 er en sårbarhed i AMD Aiter, et bibliotek til AI-inferens på ROCm-grafikkort. Fejlen ligger i funktionen MessageQueue.recv() i filen shm_broadcast.py, der modtager data via ZMQ, et beskedsystem til at sende data mellem processer i en klynge. Funktionen modtager data som pickle, et Python-format til at gemme og gendanne data, som kan udføre programkode, når det læses. Der er ingen godkendelse, ingen HMAC (en kryptografisk kontrol af, at data ikke er ændret) og ingen kontrol af formatet, før data læses. Det betyder, at en angriber, der kan sende data til det åbne ZMQ-lyttested (kaldet XPUB), kan sende en forfalsket pickle-pakke, som kører vilkårlig kode samtidig på alle arbejdsprocesser, der lytter med.
Hvem rammer det?
Sårbarheden rammer virksomheder, der bruger AMD Aiter version 0,1,14 eller ældre til AI-inferens på ROCm-baserede GPU-klynger. Det gælder typisk teknologivirksomheder, forskningsmiljøer og virksomheder med egen AI-infrastruktur, hvor flere maskiner deler beregninger over et internt netværk. Er inferensklyngen isoleret fra internettet og fra utroværdige interne netværk, er den umiddelbare risiko lavere, men stadig reel for alle, der har adgang til klyngens netværk.
Hvad kan ske?
En angriber, der kan nå klyngens netværk, eller som kan forfalske et Handle-objekt med en angriberstyret adresse, kan sende en forfalsket pickle-pakke og dermed køre egen kode på alle arbejdsprocesser samtidig. I praksis giver det fuld kontrol over AI-infrastrukturen: udtræk af træningsdata og modeller, ændring af inferensresultater, installation af malware eller brug af klyngens GPU-ressourcer til andet formål, for eksempel minedrift eller yderligere angreb mod andre systemer på netværket.
Hvor alvorligt er det?
CVSS-scoren er 8,1 af 10, alvorlig. Angrebet kræver ikke login (PR:N) og ingen handling fra en bruger (UI:N), men angrebskompleksiteten er høj (AC:H): angriberen skal kunne nå klyngens interne ZMQ-lyttested eller forfalske et Handle-objekt, hvilket normalt kræver adgang til det interne netværk eller en anden fejl først. Alle tre dele af CIA-treklangen, fortrolighed, integritet og tilgængelighed, er ramt fuldt ud, fordi et vellykket angreb giver kodeudførelse på arbejdsprocesserne. Der er ikke set aktiv udnyttelse eller offentligt tilgængelig angrebskode på offentliggørelsesdatoen.
Hvad gør jeg nu?
Følg disse trin i prioriteret rækkefølge:
- Isolér klyngens netværk: sørg for, at ZMQ-lyttestedet (XPUB) kun kan nås fra betroede maskiner i klyngen, og aldrig fra internettet eller et fælles kontor- eller gæstenetværk.
- Kontrollér, hvilken version af Aiter I kører, og hold øje med AMDs officielle kanaler for en rettet version, da der ikke er oplyst en patchet udgave i denne sag.
- Undersøg om jeres opsætning tillader at slå pickle-baseret kommunikation fra eller kræve signering af beskeder, hvis biblioteket eller jeres egen kode understøtter det.
- Afgræns netværksadgang med firewallregler, så kun de servere, der skal deltage i inferensen, kan kommunikere på de relevante porte.
- Overvåg logs for uventede forbindelser til ZMQ-porten og for uventede genstarter eller adfærd på arbejdsprocesserne.
- Søg hjælp udefra, hvis I ikke selv kan verificere netværksisolationen, eller hvis I er i tvivl om, hvordan jeres AI-infrastruktur er eksponeret.
Isolér netværk inden for 7 dage
Vi anbefaler, at I straks kontrollerer, om jeres AITER-baserede klynge er nåelig fra utroværdige netværk, og lukker den adgang, uanset om der findes en officiel opdatering. Det er i orden at vente med større ændringer i selve softwaren, hvis netværksisolationen allerede er på plads og verificeret, men vi anbefaler at følge op, når AMD udgiver en rettet version.
Tidslinje
Konkrete eksempler
AI-startup med delt udviklernetværk
En dansk AI-virksomhed kører en inferensklynge på AMD-hardware, hvor udviklere og eksterne konsulenter deler samme interne netværk som klyngen. En kompromitteret bærbar computer på netværket sender en forfalsket pickle-pakke til klyngens ZMQ-lyttested og får kode til at køre på alle arbejdsprocesser, hvorved angriberen får adgang til virksomhedens AI-modeller og data.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører AMD Aiter version 0,1,14 eller ældre til AI-inferens på ROCm-hardware, og hvis klyngens interne netværk kan nås af utroværdige maskiner eller brugere. Kør jeres inferens på et fuldt isoleret, internt netværk uden ekstern adgang, er den umiddelbare risiko begrænset.
Hvordan tjekker vi om vores opsætning er sårbar?
Se hvilken version af Aiter, der er installeret i jeres AI-miljø, og kortlæg hvem og hvad der kan nå klyngens interne ZMQ-porte, herunder XPUB-lyttestedet. Har I ekstern adgang, en fælles gæste- eller kontornetværk, eller ukendte tredjeparter med adgang til samme netværk, bør I gennemgå det nærmere.
Kan vi vente til weekenden med at lave ændringer?
Hvis klyngens netværk allerede er isoleret fra utroværdige netværk, kan I vente og planlægge en ordentlig gennemgang. Er der usikkerhed om netværksadgangen, bør I lave netværksafgrænsningen med det samme, da angrebskompleksiteten er høj, men konsekvensen ved et vellykket angreb er alvorlig.
Skal vi anmelde denne sårbarhed?
Der er ikke pligt til at anmelde en sårbarhed i sig selv. Fører et angreb til et sikkerhedsbrud med tab af persondata, kan I være forpligtet til at anmelde det til Datatilsynet efter databeskyttelsesreglerne, uanset hvilken sårbarhed der er årsagen.
Hvad er en pickle-nyttelast, og hvorfor er det farligt?
Pickle er et Python-format til at gemme og genskabe data. Når data læses (deserialiseres) uden kontrol, kan formatet bruges til at bede programmet om at køre vilkårlig kode i stedet for blot at genskabe data. Det er kernen i denne sårbarhed, klassificeret som CWE-502.
Findes der en officiel opdatering fra AMD?
Der er ikke oplyst en rettet version i denne sag på offentliggørelsesdatoen. Vi anbefaler at følge AMDs officielle kanaler og projektets kildekode for en rettelse, og i mellemtiden lukke netværksadgangen som beskrevet ovenfor.
Ramte produkter
Amd: Aiter
≤ 0.1.14
CVSS-detaljer
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
AI Tensor Engine for ROCm (AITER) through 0.1.14 contains an unauthenticated remote code execution vulnerability in the MessageQueue.recv() function within shm_broadcast.py that allows unauthenticated remote attackers to execute arbitrary code by sending a malicious pickle payload to a ZMQ SUB socket with no authentication, HMAC, or format validation. Attackers who can reach the writer XPUB endpoint on the cluster network or supply a forged Handle with an attacker-controlled remote_subscribe_addr can deliver a crafted pickle payload that executes arbitrary code simultaneously as the inference worker process on every remote reader worker.
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.