PT-2025-48089 · Fugue+1 · Fugue+1

Chenpinji · Publicado 2025-11-25 · Atualizado 2025-12-30 · CVE-2025-62703

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Fugue 0.9.2 e anteriores

Descrição O Fugue é uma interface unificada para computação distribuída. Existe uma vulnerabilidade de execução remota de código devido à deserialização insegura de dados usando cloudpickle.loads() dentro da função decode() em fugue/rpc/flask.py. Isso permite que um atacante execute código arbitrário na máquina da vítima enviando dados pickle maliciosos através do servidor RPC. A vulnerabilidade reside no mecanismo de comunicação RPC, onde um cliente pode transmitir objetos Python serializados que são deserializados no lado do servidor sem a devida sanitização.

Recomendações Versões anteriores a 0.9.2 devem ser atualizadas.

Exploit

Correção

RCE

Deserialization of Untrusted Data

OS Command Injection

Enumeração de Fraquezas

CWE-502

CWE-78

Identificadores relacionados

CVE-2025-62703

GHSA-XV5P-FJW5-VRJ6

Produtos afetados

Fugue

Cloudpickle

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/62xxx/CVE-2025-62703.json · Exploit
• 🔥 https://github.com/fugue-project/fugue/security/advisories/GHSA-xv5p-fjw5-vrj6 · Exploit
• https://github.com/fugue-project/fugue/commit/6f25326779fd1f528198098d6287c5a863176fc0 · Correção
• https://github.com/fugue-project/fugue · Nota
• https://reddit.com/r/VulnMatter/comments/1pbe9h1/resumen_diario_de_vulnerabilidades_01122025 · Publicação no Reddit
• https://t.me/cveNotify/147170 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1993435379366773067 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1p9dokj/resumen_diario_de_vulnerabilidades_29112025 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2025-62703 · Nota de Segurança
• https://drive.google.com/file/d/1y8bBBp7dnWoT_WHBtdB0Fts4NRUIfdWi/view?usp=sharing · Nota
• https://osv.dev/vulnerability/GHSA-xv5p-fjw5-vrj6 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-62703 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/1993495139466063933 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1993450542920560767 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1p9ah42/resumen_diario_de_vulnerabilidades_29112025 · Publicação no Reddit