つみかさね

CVE-2026-14535

High(8.8)

fickling MLAllowlistデッドコード化 CVE-2026-14535：影響範囲と対応方法

公開日: 2026-07-05データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
ficklingTrail of Bits< v0.1.12

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1fickling のバージョンを確認する（pip show fickling）
  2. 2v0.1.11 以前の場合は v0.1.12 へアップデートする（pip install fickling==0.1.12）
  3. 3CVE-2026-14534 と合わせて両方が修正済みの v0.1.12 への更新を推奨

影響対象

fickling を pickle 安全検査に使用している Python/AI/ML 開発者・チーム

補足

  • -v0.1.11 は CVE-2026-14534 を修正するが本 CVE は修正していない。v0.1.12 を使用すること
CVEficklingpicklePythonAIモデルMLAllowlist

30秒で判断

対応すべき人:

  • fickling を pickle ファイルの安全性検査に使用している（特に ML モデル環境）
  • fickling を v0.1.11 に更新したが CVE-2026-14534 の修正のみで止まっている

対応不要な人:

  • fickling を使用していない
  • fickling を v0.1.12 以降に更新済み

概要

fickling v0.1.11 以前で、UnsafeImportsML 分析パスと MLAllowlist 分析パスが共有する reported_shortened_code セットに設計上の問題があります。

UnsafeImportsML が全インポートノードに対して shorten_code() を呼び出し、共有セットに記録します。これにより MLAllowlist パスが実行されるとき、全てのインポートで already_reported=True となり continue で許可リストチェックをスキップします。つまり MLAllowlist は完全にデッドコードになっており、ML 許可リスト外の任意モジュールが安全と誤判定されます。

本脆弱性は CVE-2026-14534（拒否リスト不足）とは独立した問題であり、両方の修正が v0.1.12 で提供されています。

CVSS ベクトル

項目値
Attack VectorNetwork
Attack ComplexityLow
Privileges RequiredNone
User InteractionRequired
Confidentiality ImpactHigh
Integrity ImpactHigh
Availability ImpactHigh
CVSS Score8.8 (High)
CWECWE-693（保護メカニズムの失敗）

影響を受けるソフトウェア

製品バージョン
ficklingv0.1.11 以前

修正バージョン

修正バージョン: v0.1.12

pip install fickling==0.1.12
# または
pip install fickling --upgrade

関連リンク

データソース: NVD (NIST), GitHub Advisory Database
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-14534fickling pickle 安全ゲートバイパス（拒否リスト不足）CVSS 8.8CVE-2025-71342picklescan pickle スキャンバイパスCVSS 8.1

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-14535
GHSA:https://github.com/trailofbits/fickling/security/advisories/GHSA-cffv-grgg-g429
GitHub Release:https://github.com/trailofbits/fickling/releases/tag/v0.1.12
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。