Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-470

CVE-2026-119578

MONAI Auto3DSeg algo_from_json fonksiyonunda uzaktan kod çalıştırma açığı

Project-MONAI MONAI

Yüksek 7,8 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
6 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, tıbbi görüntüleme ve yapay zekâ modelleri geliştirmek için kullanılan bir yazılımı etkiliyor ve saldırganın sunucu veya çalışma ortamında tam kontrol kurmasına olanak tanıyabilir. Kullanıcının kötü amaçlı bir dosyayla etkileşime girmesi yeterli olduğundan risk yüksektir ve hızlı güncelleme gerektirir.

ÖzetTürkçe

MONAI 1.6.0 sürümünden 1.6.1 öncesine kadar olan sürümlerde, Auto3DSeg bileşeninin algo_from_json fonksiyonunda uzaktan kod çalıştırma açığı bulunmaktadır. Saldırgan, hazırlanmış bir çalışma dizinindeki algo_object.json dosyası ve kötü amaçlı bir algorithm_templates modülü aracılığıyla Python kodu çalıştırabilir. Açık, varsayılan yapılandırmada AutoRunner veya import_bundle_algo_history çağrıldığında tetiklenir.

Saldırgan ne yapabilir?

Saldırgan, sistemde MONAI sürecinin yetkileriyle keyfi Python kodu çalıştırabilir; bu da veri okuma, değiştirme ve sistemin ele geçirilmesi anlamına gelebilir.

Kaynaktaki açıklama (İngilizce)

MONAI from 1.6.0 before 1.6.1 contains a remote code execution vulnerability in Auto3DSeg algo_from_json() that allows attackers to run Python code via a crafted work directory's algo_object.json. Attackers can ship a malicious algorithm_templates module plus a _target_ name that is imported and instantiated when victims call AutoRunner or import_bundle_algo_history, executing code under default configuration.

Ne yapmalı?

  1. MONAI yazılımını 1.6.1 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar güvenilmeyen kaynaklardan gelen çalışma dizinlerini ve algo_object.json dosyalarını kullanmayın. Genel öneri
  3. AutoRunner ve import_bundle_algo_history işlevlerini yalnızca doğrulanmış ve güvenilir algoritma içeren dizinlerle çalıştırın. Genel öneri

Ek önlemler

  • MONAI çalıştıran sunucuları en az yetkili kullanıcı hesabıyla çalıştırarak olası zararı sınırlayın. Genel öneri
  • Çalışma dizinlerindeki beklenmeyen Python modüllerini ve yeni eklenen dosyaları izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Project-MONAI MONAI ≥ 1.6.0, < 1.6.1 1.6.1
1.6.1 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.