Сканеры моделей не видят угроз в .nemo-чекпоинтах Nvidia

Исследователь из Munim выпустил открытый сканер nemo_container_scan.py: файл .nemo от Nvidia NeMo — это tar-архив с pickle-чекпоинтом внутри, который restore_from распаковывает и загружает через torch.load. Сканеры, не открывающие tar, пропускают вредоносный pickle, а в NeMo до r2.0.0rc0 была уязвимость CVE-2024-0129 — запись файлов вне каталога при распаковке.

• Файл .nemo — tar с model_config.yaml и model_weights.ckpt, внутри которого pickle
• CVE-2024-0129: extractall без проверки имён давал запись вне каталога, оценка NVD 7.8
• Сканер не импортирует torch и NeMo, не распаковывает на диск и не выполняет pickle
• Код открыт под Apache-2.0 и возвращает код 1 при находках высокого уровня для CI