CVE-2026-100308 - Esecuzione di comandi arbitrari in GluonTS durante la deserializzazione del modello
ID Bollettino: 2026-119-AWS
Ambito: AWS
Tipo di contenuto: importante (richiede attenzione)
Data di pubblicazione: 29/09/2026 8:00 PDT
Descrizione:
GluonTS è una libreria open source per modelli di serie temporali basati sul deep learning. Abbiamo identificato la vulnerabilità CVE-2026-100308, che consente l’esecuzione arbitraria di comandi dopo la deserializzazione di artefatti del modello non attendibili.
La deserializzazione di dati non attendibili nel componente di caricamento del modello di Amazon GluonTS, nelle versioni precedenti alla 0.17.0, potrebbe consentire a un aggressore, in base al contesto, di eseguire comandi arbitrari del sistema operativo con i privilegi del processo di caricamento, tramite una directory di modelli predisposta e serializzata. Il problema si verifica ogni volta che un utente chiama Predictor.deserialize() o qualsiasi RepresentablePredictor.deserialize() su una directory di modelli che non controlla completamente.
Versioni interessate: <0.17.0
Risoluzione:
questo problema è stato risolto nella versione 0.17.0 di GluonTS. Per incorporare le nuove correzioni, consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork.
Soluzioni alternative:
suggeriamo agli utenti di deserializzare solo gli artefatti attendibili del modello mediante la libreria.
Riferimenti:
Ringraziamenti:
desideriamo ringraziare Michael Holmquist (Hasp Labs) per aver collaborato alla risoluzione di questo problema attraverso il processo di divulgazione coordinata delle vulnerabilità.
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza..