یک آسیب‌پذیری امنیتی در کتابخانه Dask (تا نسخه 2026.8.0) شناسایی شده است که به دلیل مدیریت نادرست فرآیند Deserialization در تابع from_npy_stack رخ می‌دهد. این نقص امنیتی در فایل dask/array/core.py و در بخش Loader قرار دارد.
جزئیات فنی و مکانیسم حمله
این آسیب‌پذیری زمانی رخ می‌دهد که یک عامل تهدید بتواند مسیر یا دایرکتوری مربوط به فایل‌های npy-stack را که توسط کاربر قربانی بارگذاری می‌شود، تحت کنترل بگیرد یا بر آن تأثیر بگذارد. در این حالت، بارگذاری داده‌های دستکاری شده منجر به Unsafe Object Deserialization شده و در نهایت می‌تواند منجر به اجرای کد (Code Execution) در محیط پردازشی قربانی شود.
تحلیل سطح دسترسی و اثرات
- بردار حمله (Attack Vector): این حمله به صورت محلی (Local) تعریف شده است، زیرا نیازمند آن است که اپلیکیشن قربانی به طور عمدی تابع
from_npy_stack()را روی منبع داده‌ای که توسط مهاجم تأثیرگذاری شده، فراخوانی کند. - تأثیرات (Impact): در صورت بهره‌برداری موفق، اثرات شدیدی بر روی محرمانگی (Confidentiality)، یکپارچگی (Integrity) و در دسترس بودن (Availability) سیستم خواهد داشت.
- وضعیت فعلاً: اکسپلویت این آسیب‌پذیری به صورت عمومی منتشر شده است و احتمال استفاده از آن توسط مهاجمان وجود دارد.
ارزیابی CVSS
بر اساس استانداردهای CVSS 3.1، این آسیب‌پذیری با امتیازات زیر ارزیابی شده است: AV:L / AC:L / PR:N / UI:R / S:U / C:H / I:H / A:H. این بدان معناست که اگرچه دسترسی محلی مورد نیاز است، اما نیازی به احراز هویت (Authentication) نیست و تنها تعامل کاربر (User Interaction) برای اجرای حمله کافی است.
