CVE-2026-100308 - GluonTS 在模型反序列化期間的任意命令執行
公告 ID： 2026-119-AWS
範圍：AWS
內容類型：重要 (需要注意)
發佈日期：2026 年 9 月 29 日上午 08:00 (太平洋夏令時間)
描述：
GluonTS 是一款用於深度學習時間序列模型的開放原始碼程式庫。我們發現了 CVE-2026-100308，此漏洞允許在反序列化不受信任的模型成品時執行任意命令。
Amazon GluonTS 0.17.0 之前版本中，模型載入元件的不受信任資料反序列化，可能讓上下文相依的攻擊者透過精心建構的序列化模型目錄，以載入程序的權限執行任意作業系統命令。每當使用者對他們無法完全控制的模型目錄呼叫 Predictor.deserialize() 或任何 RepresentablePredictor.deserialize() 時，就會出現此問題。
受影響版本： <0.17.0
解決方案：
此問題已在 GluonTS 0.17.0 版本中解決。建議您升級至最新版本，並確保所有分支或衍生程式碼皆已套用修補程式，以納入最新修正。
變通方法：
我們建議使用者僅使用該程式庫反序列化受信任的模型成品。
參考資料：
致謝：
我們誠摯感謝 Michael Holmquist (Hasp Labs) 透過協調的漏洞揭露程序，與我們協作解決此問題。
請寄電子郵件至 aws-security@amazon.com 以提出任何安全性問題或疑慮。