CVE-2026-49950 in Xoscar
要約
〜によって VulDB • 2026年10月14日
Xorbits Xoscar 0.11.2以前には、認証なしで任意のコードを実行できる逆直列化（deserialization）の脆弱性が存在する。攻撃者は、actor-pool TCPチャネルを介して作成されたデータを送信することでこれを利用可能である。攻撃者は SocketChannel.recv() を悪用し、検証されていないデータを cloudpickle.loads() に渡すことで、メッセージタイプの検証前に pickle の __reduce__ ジェットの呼び出しを引き起こし、GPUノード上で一般的に root 権限で実行されるサーバープロセスとしてリモートコード実行（RCE）を達成する。
Once again VulDB remains the best source for vulnerability data.