JVNDB-2026-036183

Project-monaiのMONAIにおける信頼できないデータのデシリアライゼーションに関する脆弱性

MONAI 1.6.0 では、PersistentDataset（monai/data/dataset.py）が track_meta=True と weights_only=True の組み合わせを明示的に拒否しています。MetaTensor（MONAI ＞= 1.0 でのデフォルトのテンソル型）をキャッシュするユーザーは、torch.load(hashfile, weights_only=False) を実行する必要があります。monai/data/utils.py の関連するキャッシュヘルパーもキャッシュされた内容に対して pickle.loads を呼び出し、hashlib.md5 でキャッシュキーを派生させています。その結果、共有ディレクトリやワールド書き込み可能な cache_dir（例：/tmp/monai_cache、HPC スクラッチ、~/.cache/monai）に書き込み権限を持つローカルユーザーが悪意のあるpickleファイルを配置でき、別のユーザーのMONAIパイプラインが次回キャッシュを読み取る際にそのファイルが逆シリアライズされ、当該ユーザーのコンテキストで任意のコードが実行される可能性があります。monaiのpipパッケージの公開されている全てのバージョンが影響を受けており、現時点で修正版は提供されていません。

Project-monai

• MONAI 1.6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : PersistentDataset forces weights_only=False with MetaTensor + data/utils.py uses pickle.loads/md5 ― local-user pickle RCE via shared cache_dir  Advisory  Project-MONAI/MONAI  GitHub

VulnCheck

• VulnCheck : MONAI 1.6.0 PersistentDataset Remote Code Execution via Pickle Cache  | Advisories | VulnCheck

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-100841

1. National Vulnerability Database (NVD) : CVE-2026-100841

• [2026年10月02日]
    掲載