CVE-2025-62703 in fugue
Riassunto
di VulDB • 14/06/2026
Fugue è un'interfaccia unificata per il calcolo distribuito che consente agli utenti di eseguire codice Python, Pandas e SQL su Spark, Dask e Ray con modifiche minime al codice sorgente (minimal rewrites). Nelle versioni 0.9.2 e precedenti, è presente una vulnerabilità di esecuzione remota di codice (RCE) dovuta alla deserializzazione tramite pickle attraverso FlaskRPCServer. Il framework Fugue implementa un sistema di server RPC per le operazioni di calcolo distribuito. Analizzando la funzionalità core dell'implementazione del server RPC, si è riscontrato che la funzione `_decode()` in `fugue/rpc/flask.py` utilizza direttamente `cloudpickle.loads()` per deserializzare i dati senza alcuna sanificazione (sanitization). Ciò crea una vulnerabilità di esecuzione remota di codice quando il server RPC elabora dati pickle malevoli. La vulnerabilità esiste nel meccanismo di comunicazione RPC, dove un client può inviare oggetti Python arbitrari serializzati che verranno deserializzati sul lato server, consentendo agli attaccanti di eseguire codice arbitrario sulla macchina della vittima. Questo problema è stato risolto tramite l'commit 6f25326.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.