Een fout in de Python-interpreter laat een gemanipuleerd taalmodel uit de Jinja-zandbak breken
Onderzoekers van RunSybil voerden via een vervalste chattemplate code uit op een server die modellen draait, maar het Python-beveiligingsteam ziet zelf geen lek in CPython.
Het beveiligingsbedrijf RunSybil heeft een geheugenfout in CPython, de standaardversie van Python, gebruikt om de beveiligde omgeving van de sjablonentaal Jinja te omzeilen. Volgens CSO Online en InfoWorld zit het probleem in de manier waarop Python generieke types in een tussengeheugen bewaart. Na een aanpassing via een callback kan een ongeldige index terugkomen, en een controle die dat zou opvangen staat in gewone releases uit. Zo kan code objecten bereiken die de zandbak net moest afschermen.
Om het risico te tonen pasten de onderzoekers het kleine model Qwen2.5-0.5B-Instruct aan met een vervalste chattemplate. Wanneer dat model via een inferentieserver zoals vLLM werd geladen, kon de aanvaller eigen code uitvoeren in het serverproces. Dat is vooral een gevaar voor aanbieders die klanten hun eigen modellen laten uploaden, omdat een aanvaller zo bij infrastructuur van andere klanten kan komen.
Een oplossing zit sinds 14 augustus in de hoofdtak van CPython en werd volgens FOSS Linux op 8 september naar Python 3.13 en 3.14 overgezet, maar als gewone bugfix en niet als beveiligingsupdate. Voor Python 3.12, dat onder meer in Ubuntu 24.04 zit, is er geen publieke oplossing. Het Python Security Response Team erkent de fout, maar vindt dat het ontsnappen uit een zandbak een zaak is voor de makers van die zandbak. De Pallets Project, dat Jinja onderhoudt, verwees de onderzoekers dan weer terug naar CPython. RunSybil raadt aanbieders aan sjablonen en zandbakken niet als volwaardige beveiligingsgrens te beschouwen.