CVE-2026-100308: execução arbitrária de comandos do GluonTS durante a desserialização do modelo
ID do boletim: 2026-119-AWS
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data de publicação: 29/09/2026 08h PDT
Descrição:
O GluonTS é uma biblioteca de código aberto para modelos de séries temporais baseados em aprendizado profundo. Identificamos o CVE-2026-100308, que permite a execução arbitrária de comandos após a desserialização de artefatos de modelo não confiáveis.
A desserialização de dados não confiáveis no componente de carregamento do modelo no Amazon GluonTS antes da versão 0.17.0 pode permitir que invasores dependentes do contexto executem comandos arbitrários do sistema operacional com os privilégios do processo de carregamento por meio de um diretório de modelo serializado criado. O problema surge sempre que um usuário chama Predictor.deserialize() ou qualquer RepresentablePredictor.deserialize() em um diretório de modelo que ele não controla totalmente.
Versões afetadas: <0.17.0
Resolução:
O problema foi resolvido na versão GluonTS 0.17.0. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Recomendamos que os usuários desserializem somente artefatos de modelos confiáveis usando a biblioteca.
Referências:
Reconhecimento:
Gostaríamos de agradecer a Michael Holmquist (Hasp Labs) pela colaboração nessa questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.