CVE-2026-56121
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 — wyżej niż 54% wszystkich znanych CVE
Streszczenie
Feast przed wersją 0.63.0 zawiera podatność na niebezpieczną deserializację, która pozwala nieuwierzytelnionym lub nieautoryzowanym atakującym na zdalne wykonanie kodu poprzez wysłanie spreparowanego żądania gRPC do serwera rejestru. Pole user_defined_function.body w specyfikacji OnDemandFeatureView jest dekodowane z base64 i przekazywane do funkcji dill.loads() przed wykonaniem jakiejkolwiek kontroli autoryzacji, co umożliwia atakującym osadzenie złośliwego, zserializowanego obiektu Python z dowolną metodą __reduce__ w celu wykonania poleceń systemu operacyjnego jako konto usługi Feast.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie serwera rejestru Feast przez atakującego, co może prowadzić do kradzieży danych, modyfikacji modeli lub dalszego ataku na infrastrukturę, szczególnie jeśli konto usługi Feast ma szerokie uprawnienia.
Rekomendacja
Należy natychmiast zaktualizować Feast do wersji 0.63.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do serwera rejestru tylko do zaufanych sieci i użytkowników.
Oryginalny opis (angielski, źródło NVD)
Feast before 0.63.0 contains an unsafe deserialization vulnerability that allows unauthenticated or unauthorized attackers to achieve remote code execution by sending a crafted gRPC request to the registry server. The user_defined_function.body field of an OnDemandFeatureView spec is decoded from base64 and passed to dill.loads() before any authorization check is performed, enabling attackers to embed a malicious serialized Python object with an arbitrary __reduce__ method to execute OS commands as the feast service account.