JVNDB-2026-013273

Pipecatにおける信頼できないデータのデシリアライゼーションに関する脆弱性

Pipecatはリアルタイム音声およびマルチモーダル会話エージェント構築のためのオープンソースPythonフレームワークです。バージョン0.0.41から0.0.93にかけて、LiveKit統合向けのオプションで非デフォルトかつ未文書化の、現在は廃止されている`LivekitFrameSerializer`クラスに脆弱性があります。このクラスの`deserialize()`メソッドは、WebSocketクライアントから受け取ったデータを検証や無害化を行わずにPythonの`pickle.loads()`に渡しています。つまり、悪意のあるWebSocketクライアントが細工されたpickleペイロードを送信することで、Pipecatサーバ上で任意のコードを実行できます。脆弱なコードは`src/pipecat/serializers/livekit.py`（約73行目）にあり、信頼できないWebSocketメッセージデータが直接`pickle.loads()`に渡されてデシリアライズされています。PipecatサーバがLivekitFrameSerializerを使用するように設定され、外部インターフェース（例: 0.0.0.0）で待ち受けている場合、ネットワーク上の攻撃者（あるいはサービスが公開されていればインターネット上の攻撃者）が悪意あるpickleペイロードを送信することでサーバのリモートコード実行（RCE）を達成できます。バージョン0.0.94でこの問題は修正されました。Pipecatの利用者は安全でないデシリアライズ処理を避けるか置き換え、ネットワークセキュリティの設定を強化すべきです。最善の対策は脆弱なLivekitFrameSerializerの使用を完全に中止することです。LiveKit機能が必要な場合は最新バージョンへのアップグレードおよび推奨される`LiveKitTransport`やフレームワーク提供の他の安全な方法への切り替えを推奨します。さらに、安全なコーディングの実践としてクライアント提供データを決して信頼せず、ネットワークに面したコンポーネントではPythonのpickle（または類似の安全でないデシリアライズ）を使用しないでください。

Pipecat

• Pipecat 0.0.41 以上 0.0.94 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Remote Code Execution by Pickle Deserialization via LivekitFrameSerializer in pipecat-ai/pipecat  Advisory  pipecat-ai/pipecat  GitHub

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2025-62373

1. National Vulnerability Database (NVD) : CVE-2025-62373

• [2026年04月30日]
    掲載