CVE-2025-62703
Təsvir
Fugue, istifadəçilərə Python, Pandas və SQL kodlarını minimum dəyişikliklərlə Spark, Dask və Ray üzərində icra etməyə imkan verən paylanmış hesablamalar üçün vahid interfeysdir. Versiya 0.9.2 və daha əvvəlki versiyalarda, FlaskRPCServer vasitəsilə pickle deserializasiyası nəticəsində uzaqdan kodun icrası zəifliyi mövcuddur. Fugue freymvorku paylanmış hesablama əməliyyatları üçün RPC server sistemini tətbiq edir. RPC server tətbiqinin əsas funksionallığında, fugue/rpc/flask.py faylındakı _decode() funksiyasının məlumatları heç bir təmizləmə aparmadan deserializasiya etmək üçün birbaşa cloudpickle.loads()-dan istifadə etdiyi aşkar edilmişdir. Bu, bədniyyətli pickle məlumatları RPC serveri tərəfindən emal edildikdə uzaqdan kodun icrası zəifliyini yaradır. Zəiflik RPC kommunikasiya mexanizmində mövcuddur; burada klient server tərəfdə deserializasiya olunacaq ixtiyari seriyalaşdırılmış Python obyektlərini göndərə bilər ki, bu da hücumçulara qurbanın maşınında ixtiyari kod icra etməyə imkan verir. Bu problem 6f25326 kommiti ilə düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fugue-project fugue | v ≤ 0.9.1 | — |
| fuguePyPI | v ≤ 0.9.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.