Hugging Face Diffusersに「FaceHugger」脆弱性、trust_remote_codeを回避し任意コード実行が可能に

概要

Hugging Faceの画像・動画生成モデル向けライブラリ「Diffusers」に、まとめて「FaceHugger」と呼ばれる3件の高深刻度脆弱性が見つかった。いずれも、信頼できないコードの実行を防ぐための安全機構「trust_remote_code」を迂回し、悪意あるモデルリポジトリをDiffusionPipeline.from_pretrained()で読み込むだけで任意コードが実行されてしまうというもの。発見したのはセキュリティ企業Zafran LabsのGal Zaban氏とIdo Shani氏で、2026年3月19日にHugging Face側へ報告し、5月1日リリースのDiffusers 0.38.0で修正された。Diffusersは月間700万〜810万件超のダウンロードがあり、本番のAIパイプラインやCI/CDシステム、コンテナイメージへの組み込みなど幅広く使われているため、影響範囲は大きいとみられる。

技術的な詳細

FaceHuggerには3件のCVEが割り当てられている。CVSS 8.8の「CVE-2026-44827」は、カスタムパイプライン引数が指定されない場合にローダーが「None.py」という名前のファイルを構築してしまう文字列フォーマットの不具合を突くもので、チェック機構がこのファイル名を検出できないまま攻撃者のコードが実行される。同じくCVSS 8.8の「CVE-2026-44513」は3種の亜種から成り、そのうち1つはローカルスナップショットからモデルを読み込む際に信頼チェック自体を完全に迂回できるというもの。CVSS 7.5の「CVE-2026-45804」は、モデルダウンロードが2つの非アトミックなHTTPリクエストで構成される一方、セキュリティチェックは最初のリクエストに対してのみ実行されるというTOCTOU(Time-of-Check to Time-of-Use)型の欠陥で、1回目のリクエスト完了後、2回目のリクエスト前に生じる約0.3秒の窓を突いて設定を書き換え、コードを注入できるという。いずれの根本原因も、信頼性の検証が設定ファイルに対してのみ行われ、実際のカスタムコードの読み込みは別のコードパスで走るという「チェックと実行の分離」にある。

対策と今後の対応

影響を受けるのはDiffusers 0.38.0未満のすべてのバージョンで、ユーザーは速やかに最新版へアップデートすることが推奨される。アップデートがすぐに行えない場合の暫定対策として、完全に監査済みの信頼できるソースからのみモデルを読み込むこと、リポジトリ内の*.pyファイルを事前に検査すること、カスタムパイプライン引数を慎重に検証することが挙げられている。企業のCI/CDシステムやコンテナイメージに組み込まれた形でDiffusersを利用しているケースでは、気づかぬうちに脆弱なバージョンが本番環境に混入している可能性もあり、依存関係の棚卸しが求められる。