CVE-2026-31223 : exécution de code à distance par désérialisation pickle non sécurisée dans snorkel AI

HERMES

SCORE DE MENACE HERMES & SURFACE D'ATTAQUE APPLICATIVE

Cible : Snorkel AI (snorkel/labeling/model/baselabeler.py)

Confiance : 94%

95 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 17 / 20

Exposition 18 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 évalue CVE-2026-31223 à 9.8 (CRITICAL, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Le score opérationnel Hermes s'établit à 95 (CRITICAL) en raison de l'exposition critique de l'écosystème Python dans les pipelines de données et d'IA.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-31223: Snorkel AI BaseLabeler pickle.load Insecure Deserialization RCEVULNÉRABILITÉ

Nœuds connectés : 2

Relations sortantes actives

→ affectsCOMPOSANTSnorkel Programmatic Labeling

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Snorkel Programmatic Labeling documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

→ usesTECHNIQUE D'ATTAQUET1059: Command and Scripting Interpreter

90% VERY_HIGH

Adversaries abuse command and script interpreters (Bash, Python, PowerShell) to execute arbitrary commands.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Attack execution telemetry aligns with MITRE ATT&CK technique T1059.”

Preuves vérifiées associées :

• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Alerte de sécurité applicative : CWE-502 : deserialization of untrusted data

CVSS v3.1 : 9.8 critical : (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) / CWE-502: Deserialization of Untrusted Data. Corrigée dans la version officielle amont 0.10.1.

Résumé exécutif

La CVE-2026-31223 est une vulnérabilité critique d’exécution de code à distance (CVSS 9.8) dans la bibliothèque d’étiquetage programmatique Snorkel AI (jusqu’à la version 0.10.0). Dans BaseLabeler.load(), les modèles de labellisation sont désérialisés avec la fonction native pickle.load() sur des chemins de fichiers arbitraires sans contrôle cryptographique ni validation. Un attaquant fournissant un modèle malveillant obtient l’exécution instantanée de code arbitraire sur les clusters d’entraînement IA et pipelines MLOps.

---

1. Contexte technique & matrice des versions affectées

Le composant Snorkel AI (snorkel/labeling/model/baselabeler.py) intervient au cœur des runtimes applicatifs, des microservices et des chaînes de traitement de données sous Python.

Paramètre	Spécification technique	Contexte threat intelligence
Identifiant CVE	CVE-2026-31223	Bulletin officiel de sécurité amont
Produit affecté	snorkel:snorkel	Écosystème logiciel Python
Composant vulnérable	Snorkel AI (snorkel/labeling/model/baselabeler.py)	Bibliothèque standard / Outil de packaging
Classe de faiblesse	CWE-502: Deserialization of Untrusted Data	Faiblesse d’exécution / Gestion des ressources
Score CVSS v3.1	9.8 (CRITICAL / Score Hermes 95)	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Version corrigée	0.10.1	Correctif officiel amont
Techniques MITRE ATT&CK	T1203 - Exploitation for Client Execution, T1059.006 - Python	Exécution de code / Déni de service
Référence forensique	Analyse mémoire des processus et désérialisation non sécurisée	Analyse mémoire et diagnostic des processus

---

2. Décomposition technique approfondie & cause racine

L’examen du code source incriminé met en évidence la faille logique ou l’absence de vérification d’encadrement :

# Vulnerability in snorkel/labeling/model/baselabeler.py
class BaseLabeler:
    def load(self, model_path: str) -> None:
        # VULNERABILITY: Insecure deserialization using pickle.load
        # Allows arbitrary bytecode execution via __reduce__ hook!
        with open(model_path, "rb") as f:
            model_dict = pickle.load(f) # Direct RCE upon loading!
        self.__dict__.update(model_dict)

Lorsque des entrées non fiables atteignent cette routine, le comportement du programme diverge des invariants de sécurité attendus, provoquant une saturation de ressources ou une manipulation de pointeurs en mémoire.

---

3. Scénarios d’attaque & modélisation des menaces

1. Vecteur initial & prérequis : un attaquant dépose un modèle de labellisation forgé sur un dépôt de partage de modèles ou un bucket S3.
2. Déclenchement de la primitive : l’attaquant injecte des données spécialement forgées vers Snorkel AI (snorkel/labeling/model/baselabeler.py).
3. Rupture d’isolement / saturation : le mécanisme de contrôle interne est dépassé.
4. Conséquences opérationnelles : lorsqu’un pipeline MLOps automatisé exécute labeler.load(chemin_modele), la charge utile contenue dans la méthode __reduce__ de pickle exécute un reverse shell et compromet l’infrastructure de calcul GPU..

---

4. Détection forensique, artefacts & logs système

Les analystes de sécurité peuvent identifier les tentatives d’exploitation en corrélant les traces applicatives et les alertes du système d’exploitation.

Télémétrie des processus & crashs

Surveillez les journaux applicatifs à la recherche des motifs : kernel: Process [pid] (python3) spawned /bin/sh via pickle deserialization. Recherchez les pics anormaux de CPU ou les arrêts forcés par manque de mémoire (OOM).

Auditd & surveillance des appels

Déployez des règles d’audit pour tracer les créations de processus enfants ou les écritures anormales. Consultez Analyse mémoire des processus et désérialisation non sécurisée.

Règles de détection et Threat Hunting

Règle Sigma

sigma_cve_2026_31223.yaml

title: Python Suspicious Process Spawn from Machine Learning Pickle Load (FR)
id: cve-2026-31223
status: experimental
description: Détecte les anomalies de crash ou d'exécution associées à CVE-2026-31223.
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        - 'kernel:'
        - 'snorkel'
    condition: selection
fields:
    - CommandLine
    - User
level: high

Tracepoint eBPF

# Surveillance par tracepoint eBPF des exécutions sous snorkel:snorkel
sudo bpftrace -e '
tracepoint:syscalls:sys_enter_execve /comm == "python3"/ {
    printf("PID %d a lancé: %s\n", pid, str(args->filename));
}'

---

5. Remédiation, durcissement & mesures d’atténuation

La sécurisation des environnements applicatifs repose sur le déploiement des correctifs et le durcissement du traitement des données :

1. Mise à niveau des paquets : mettez à jour snorkel:snorkel vers la version 0.10.1 ou ultérieure via votre gestionnaire de paquets ou vos fichiers de dépendances (requirements.txt, Pipfile, pyproject.toml).
2. Programmation défensive : imposez des limites strictes sur les tailles de fichiers acceptés et bannissez les modules de désérialisation dangereux comme pickle au profit de formats sécurisés tels que JSON ou safetensors.
3. Surveillance forensique : pour approfondir l’analyse d’incidents et la télémétrie système, consultez notre guide sur Analyse mémoire des processus et désérialisation non sécurisée.