Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-95
  • CWE-502

CVE-2026-120499

h5io kütüphanesinde read_hdf5 üzerinden uzaktan kod çalıştırma açığı

h5io

Yüksek 7,8 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, kötü niyetli bir veri dosyasının okunmasıyla sistemin saldırganın kontrolüne geçebilmesi riskini taşır. Etkilenen yazılımı kullanan kuruluşlar için yüksek öncelikli bir güvenlik güncellemesi gerektirir. Gecikme, veri kaybı ve hizmet kesintisi riskini artırır.

ÖzetTürkçe

h5io kütüphanesinin 0.2.6 öncesi sürümlerinde read_hdf5 fonksiyonu, hazırlanmış bir HDF5 dosyasındaki verileri güvenli olmayan şekilde işler. Saldırgan, dosyadaki belirli düğümlere Python kodu, keyfi modül adı veya pickle ile serileştirilmiş nesne yerleştirerek kod çalıştırabilir. Açık, bu dosyaları okuyan tüm uygulama ve betikleri etkiler.

Saldırgan ne yapabilir?

Saldırgan, dosyayı okuyan sistemde uzaktan keyfi kod çalıştırabilir; bu da verilerin ele geçirilmesine, değiştirilmesine ve sistemin tamamen kontrol edilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

h5io before 0.2.6 contains a code injection vulnerability in read_hdf5() that allows attackers to execute arbitrary code by supplying a crafted HDF5 file. Attackers can store Python code in a node titled timezone, which _triage_read() passes to eval() with builtins reachable, name an arbitrary module in class or custom-object nodes that _import_class() imports, or place pickled objects in pd_dataframe or pd_series nodes that pandas deserializes on read.

Ne yapmalı?

  1. h5io kütüphanesini 0.2.6 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar güvenilmeyen kaynaklardan gelen HDF5 dosyalarını okumayın. Genel öneri
  3. Uygulamanın h5io kullandığı tüm ortamlarda sürümü kontrol edin ve güncel olmayanları yükseltin. Genel öneri

Ek önlemler

  • HDF5 dosyalarını yalnızca kaynağı doğrulanmış ve güvenilir kaynaklardan kabul edin. Genel öneri
  • Uygulamaları en az yetkili bir kullanıcı hesabıyla çalıştırarak olası bir ihlalin etkisini sınırlayın. Genel öneri
  • Beklenmeyen dosya okuma işlemleri ve alışılmadık süreç başlatmaları için günlükleri izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
h5io ≥ 0.1.0, < 0.2.6 0.2.6

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.