CVE-2026-68508 in Hydra
要約
〜によって VulDB • 2026年08月22日
Hydra は、複雑なアプリケーションをエレガントに構成するためのフレームワークです。バージョン 1.3.4 より前では、hydra.utils.instantiate() は hydra/_internal/instantiate/_instantiate2.py の _resolve_target() を介して設定によって選択された Python オブジェクトの解決と呼び出しを行い、攻撃者が制御可能なターゲット値や引数を使用して危険なコール可能オブジェクトを選択することを許可していました。したがって、信頼できない構成、CLI 上書き、またはモデルメタデータを hydra.utils.instantiate() に渡す消費側アプリケーション、ライブラリ、CLI ワークフロー、またはモデルローダーは、その自身のプロセス内で任意のコードを実行できます。これにはファイルや資格情報の読み取り・変更、あるいはプロセスの終了が含まれます。バージョン 1.3.4 では、明示的な HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE エスケープハッチによるターゲットブロック機能が追加されました。この問題はバージョン 1.3.4 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.