JVNDB-2026-036387

Project-monaiのMONAIにおける信頼できないデータのデシリアライゼーションに関する脆弱性

MONAI 1.6.0 未満のバージョンには、NumpyReader クラスに安全でない逆シリアライズの脆弱性があります。このクラスは、.npy および .npz ファイルを読み込む際に、allow_pickle=True を指定して無条件に numpy.load を使用しています。攻撃者は、MONAI の標準データパイプラインを通じて読み込まれた際に、任意のコードを実行するピクルペイロードを含む悪意のある .npy ファイルを作成し実行することが可能です。

Project-monai

• MONAI 1.6.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unsafe deserialization in NumpyReader allows arbitrary code execution via malicious .npy files  Advisory  Project-MONAI/MONAI  GitHub

VulnCheck

• VulnCheck : MONAI before 1.6.0 Remote Code Execution via NumpyReader  | Advisories | VulnCheck

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-100845

1. National Vulnerability Database (NVD) : CVE-2026-100845

• [2026年10月02日]
    掲載