CVE-2026-7584
Açıklama
LabOne Q serileştirme çerçevesi, ters serileştirme sırasında Python sınıflarını dinamik olarak içe aktarmak ve örneklendirmek için bir sınıf yükleme mekanizması (import_cls) kullanır. Düzeltmeden önce bu mekanizma, hedef sınıf üzerinde herhangi bir doğrulama yapmadan veya hangi modüllerin içe aktarılabileceğine dair bir kısıtlama olmaksızın, serileştirilmiş verilerden gelen rastgele tam nitelikli sınıf adlarını kabul ediyordu. Bir saldırgan, ters serileştirme motorunun saldırgan tarafından kontrol edilen yapılandırıcı argümanlarla rastgele Python sınıflarını içe aktarmasına ve örneklendirmesine neden olan serileştirilmiş bir deney dosyası oluşturabilir; bu durum, Python işlemini çalıştıran kullanıcının bağlamında rastgele kod çalıştırılmasıyla sonuçlanır. İstismarın gerçekleşmesi için mağdurun, örneğin iş birliği veya destek amaçlı paylaşılan kötü amaçlı bir deney dosyası gibi, LabOne Q'nun ters serileştirme fonksiyonlarını kullanarak kötü niyetli bir dosyayı yüklemesi gerekir.
Nasıl düzeltilir
- zhinst labone_q26.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zhinst labone_q | 2.41.0 ≤ v < 26.1.2, 26.4.0 | 26.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.