CVE-2025-62703
Açıklama
Fugue, kullanıcıların Python, Pandas ve SQL kodlarını minimum yeniden yazımla Spark, Dask ve Ray üzerinde çalıştırmasına olanak tanıyan dağıtık hesaplama için birleşik bir arayüzdür. 0.9.2 ve önceki sürümlerde, FlaskRPCServer aracılığıyla pickle serileştirme kaldırma yoluyla uzaktan kod çalıştırma güvenlik açığı bulunmaktadır. Fugue çerçevesi, dağıtık hesaplama işlemleri için bir RPC sunucu sistemi uygular. RPC sunucu uygulamasının temel işlevselliğinde, fugue/rpc/flask.py içindeki _decode() fonksiyonunun verileri herhangi bir temizleme yapmadan serileştirmeden çıkarmak için doğrudan cloudpickle.loads() kullandığını tespit ettim. Bu, kötü amaçlı pickle verileri RPC sunucusu tarafından işlendiğinde uzaktan kod çalıştırma güvenlik açığı oluşturur. Güvenlik açığı, istemcinin sunucu tarafında serileştirmeden çıkarılacak rastgele serileştirilmiş Python nesneleri gönderebildiği RPC iletişim mekanizmasında mevcuttur ve saldırganların kurbanın makinesinde rastgele kod çalıştırmasına olanak tanır. Bu sorun 6f25326 commit'i aracılığıyla yamalanmıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fugue-project fugue | v ≤ 0.9.1 | — |
| fuguePyPI | v ≤ 0.9.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.