JVNDB-2026-014105

Zurich InstrumentsのLabOne Qにおける信頼できないデータのデシリアライゼーションに関する脆弱性

LabOne Qのシリアライズフレームワークは、逆シリアライズ中にPythonクラスを動的にインポートおよびインスタンス化するためのクラスロード機構（import_cls）を使用しています。修正前は、この機構がシリアライズされたデータから任意の完全修飾クラス名を検証なしに受け入れ、インポート可能なモジュールに制限がありませんでした。攻撃者は、逆シリアライズエンジンに任意のPythonクラスを攻撃者制御のコンストラクタ引数でインポートおよびインスタンス化させるよう細工されたシリアライズ済み実験ファイルを作成でき、その結果、Pythonプロセスを実行するユーザーの権限で任意のコードを実行できます。悪用には、被害者がLabOne Qの逆シリアライズ機能を用いて悪意のあるファイルをロードする必要があり、そのファイルは例えばコラボレーションやサポート目的で共有された改ざんされた実験ファイルが該当します。

Zurich Instruments

• LabOne Q 2.41.0 以上 26.1.2 未満
• LabOne Q 26.4.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Zurich Instruments

• Zurich Instruments : ZI-SA-2026-002: Arbitrary Code Execution via Unsafe Deserialization in LabOne Q | Zurich Instruments

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-7584

1. National Vulnerability Database (NVD) : CVE-2026-7584

• [2026年05月07日]
    掲載