Vulnerabilità · 105 giorni fa

Un bucket predefinito basta per dirottare Vertex AI

Il punto debole non è il modello in sé, ma la fiducia riposta nel bucket “di default”: se il nome è prevedibile e nessuno verifica chi lo possiede, un progetto Google Cloud separato può intercettare il percorso di upload e sostituire l’artefatto prima del rilascio. In pratica, una comodità lato SDK trasforma un flusso di model upload in una superficie di attacco tra tenant, con esecuzione di codice dentro l’infrastruttura di serving di Vertex AI.

Unit 42 ha documentato CVE-2026-2473 nel Vertex AI Python SDK di Google Cloud. La falla colpiva le versioni 1.139.0 e 1.140.0 e Google l’ha corretta in v1.148.0, rilasciata il 15 aprile 2026; il vettore nasce da un nome di staging bucket deterministico basato su project ID e region, controllato per l’esistenza ma non per la proprietà.

Per chi usa questi workflow, la lezione è che il confine di fiducia è il proprietario del bucket, non l’applicazione che lo nomina. Se il canale di upload si appoggia a default prevedibili, il rischio non si ferma alla sostituzione del modello: si estende ai token e alle risorse del tenant che lo esegue.

CVE-2026-2473

NVD KEV

EPSS 0.5% (39º percentile).

Cronologia

17 giu Segnalato da The Hacker News
16 giu Segnalato da Unit 42

Fonti

2 fonti che coprono questa storia

The Hacker News 17 giu
Google Vertex AI SDK Flaw Let Attackers Hijack Model Uploads via Bucket Squatting
Google fixed a Vertex AI SDK flaw in v1.148.0 after Unit 42 showed bucket squatting could enable model hijacking and code execution.
Unit 42 16 giu
Pickle in the Middle – Hijacking Vertex AI Model Uploads for Cross-Tenant RCE
Unit 42 discovered a Vertex AI Python SDK vulnerability that allows remote code execution via bucket squatting.

Entità

CVE-2026-2473

Part of the PlainSec briefing for 2026-06-16

Editions

Briefing for 2026-06-16

Storie correlate

Vulnerabilità · 105 giorni faUn bucket predefinito basta per dirottare Vertex AIIl punto debole non è il modello in sé, ma la fiducia riposta nel bucket “di default”: se il nome è prevedibile e nessuno verifica chi lo possiede, un progetto Google Cloud separato può intercettare il percorso di upload e sostituire l’artefatto prima del rilascio. In pratica, una comodità lato SDK trasforma un flusso di model upload in una superficie di attacco tra tenant, con esecuzione di codice dentro l’infrastruttura di serving di Vertex AI.Unit 42 ha documentato CVE-2026-2473 nel Vertex AI Python SDK di Google Cloud. La falla colpiva le versioni 1.139.0 e 1.140.0 e Google l’ha corretta in v1.148.0, rilasciata il 15 aprile 2026; il vettore nasce da un nome di staging bucket deterministico basato su project ID e region, controllato per l’esistenza ma non per la proprietà.Per chi usa questi workflow, la lezione è che il confine di fiducia è il proprietario del bucket, non l’applicazione che lo nomina. Se il canale di upload si appoggia a default prevedibili, il rischio non si ferma alla sostituzione del modello: si estende ai token e alle risorse del tenant che lo esegue.