CVE-2025-62703 in fugue
الملخص
بحسب VulDB • 31/05/2026
Fugue هو واجهة موحدة للحوسبة الموزعة تتيح للمستخدمين تنفيذ أكواد Python وPandas وSQL على منصات Spark وDask وRay مع إجراء تعديلات طفيفة فقط. في الإصدار 0.9.2 والإصدارات الأقدم، توجد ثغرة لتنفيذ الأكواد عن بُعد (RCE) ناتجة عن عملية فك تسلسل (deserialization) لبيانات Pickle عبر خدمة FlaskRPCServer. يطبق إطار عمل Fugue نظام خادم RPC (بروتوكول استدعاء الإجراءات عن بُعد) للعمليات المتعلقة بالحوسبة الموزعة. في الوظيفة الأساسية لتنفيذ خادم RPC، لاحظت أن الدالة `_decode()` الموجودة في الملف `fugue/rpc/flask.py` تستخدم دالة `cloudpickle.loads()` مباشرةً لفك تسلسل البيانات دون أي عملية تنقية أو تحقق من السلامة (sanitization). يؤدي هذا إلى ثغرة لتنفيذ الأكواد عن بُعد عند معالجة بيانات Pickel خبيثة بواسطة خادم RPC. توجد الثغرة في آلية الاتصال عبر RPC، حيث يمكن للعميل إرسال كائنات Python مسلسلة بشكل تعسفي يتم فك تسلسلها على جانب الخادم، مما يسمح للمهاجمين بتنفيذ أكواد تعسفية على جهاز الضحية. تم إصلاح هذه المشكلة عبر الالتزام (commit) رقم 6f25326.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.