JVNDB-2025-023573

 Fugue-projectのFugueにおける信頼できないデータのデシリアライゼーションに関する脆弱性

Fugueは、ユーザーがPython、Pandas、およびSQLコードをSpark、Dask、Ray上で最小限の書き換えで実行できる統合インターフェースです。バージョン0.9.2以前には、FlaskRPCServerを介したpickleデシリアライズによってリモートコードが実行される脆弱性が存在します。Fugueフレームワークは分散コンピューティング操作のためにRPCサーバーシステムを実装しています。そのRPCサーバー実装のコア機能では、fugue/rpc/flask.pyの_decode()関数がcloudpickle.loads()を使用して、データを無加工でデシリアライズしています。その結果、RPCサーバーが悪意のあるpickleデータを処理すると、リモートコードが実行される脆弱性が発生します。この脆弱性は、クライアントが任意のシリアライズ済みPythonオブジェクトをサーバーに送信でき、その内容がサーバー側でデシリアライズされるため、攻撃者が被害者のマシン上で任意のコードを実行できるという点にあります。この問題はコミット6f25326によって修正されました。

Fugue-project

• Fugue 0.9.1 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Remote Code Execution by Pickle Deserialization via FlaskRPCServer in fugue-project/fugue  Advisory  fugue-project/fugue  GitHub

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2025-62703

1. National Vulnerability Database (NVD) : CVE-2025-62703
2. 関連文書 : Adding security warnings to Flask RPCServer (#564)  fugue-project/fugue@6f25326  GitHub

• [2026年01月06日]
    掲載