KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2024-52803 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
LLama Factory允许对大语言模型进行微调。在LLama Factory训练过程中发现了一个关键的远程操作系统命令注入漏洞。该漏洞是由于对用户输入处理不当而产生的，恶意攻击者可以在主机系统上执行任意操作系统命令。该问题是由于不安全地使用带有`shell=True`的`Popen`函数以及未经验证的用户输入所导致的。需要立即采取补救措施以降低风险。该漏洞已在版本0.9.1中得到修复。
影响范围
官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。
解决方案
升级至最新版本。
参考信息
https://gist.github.com/superboy-zjc/f2d2b93ae511c445ba97e144b70e534d
https://github.com/hiyouga/LLaMA-Factory/commit/b3aa80d54a67da45e9e237e349486fb9c162b2ac
https://github.com/hiyouga/LLaMA-Factory/security/advisories/GHSA-hj3w-wrh4-44vp
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。