← 戻る
CVE-2026-9147
high
CVSS 7.8
uproot dynamically generates Python class source code from ROOT TStreamerInfo records in a file...
概要
uproot dynamically generates Python class source code from ROOT TStreamerInfo records in a file...
AI要約 openai / gpt-4o
uprootは、ROOTファイルのTStreamerInfoレコードからPythonクラスのソースコードを動的に生成し、実行時にコンパイルします。この過程で、ストリーマのメタデータのフィールドが不適切に取り扱われており、特にPythonの表現破壊コンテンツを挿入することで、任意のコードが実行される可能性があります。攻撃者が細工したファイルを使用することで、プロセスのコンテキストで意図しないコードが実行されるリスクがあります。
❓ 何が問題か
uprootは、Pythonコードを動的に生成し、任意のコード実行を招く脆弱性がある。
📍 影響範囲
uprootのROOTファイルのTStreamerInfoレコード処理中。
🔥 重要度
攻撃者が任意のPythonコードを注入し実行可能なため、高リスク。
🔧 修正方法
ストリーマメタデータを安全に取り扱うためにrepr()や!rフォーマット指定子を使用して対策。
🛡️ 暫定回避
パッチが出るまでは、信頼できるソース以外のROOTファイルを開かないこと。
🔍 検知方法
影響を受けるコードを含んでいるか、パッケージのバージョンを確認。