JVNDB-2026-036386

Project-monaiのMONAIにおける信頼できないデータのデシリアライゼーションに関する脆弱性

MONAI 1.5.2より前のバージョンには、monai/auto3dseg/utils.py内のalgo_from_pickle関数において、信頼されていないデータの逆シリアル化に関する脆弱性が存在します。この関数は.pklファイルを読み込み、その内容をデータソースや内容の検証を行わずにpickle.loadsに渡します。攻撃者が提供したpickleファイルでアプリケーションがalgo_from_pickleを呼び出した場合、逆シリアル化の過程で__reduce__を定義するオブジェクトが実行され、アプリケーションのコンテキスト内で任意のコードが実行される可能性があります。

Project-monai

• MONAI 1.5.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unsafe functions lead to pickle deserialization rce  Advisory  Project-MONAI/MONAI  GitHub

VulnCheck

• VulnCheck : MONAI before 1.5.2 Remote Code Execution via Pickle Deserialization  | Advisories | VulnCheck

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-100846

1. National Vulnerability Database (NVD) : CVE-2026-100846

• [2026年10月02日]
    掲載