FedML-AI FedML パス・トラバーサル FileUtils.java (MQTT Message Handler)

FedML-AI FedMLのバージョン0.8.9までの脆弱性が発見されました。この脆弱性は、MQTT Message HandlerコンポーネントのFileUtils.javaファイル内の不明な関数に影響を与えます。攻撃者は、'dataSet'引数のデータを操作することでこの脆弱性を悪用し、意図された範囲外のファイルやディレクトリにアクセスできる可能性があります。この脆弱性は、リモートで悪用できるため、重大度が高いと評価されています。エクスプロイトの公開により、攻撃のリスクが大幅に増加します。ベンダーは早期にこの開示について連絡を取りましたが、対応していません。

Organizations utilizing FedML for machine learning or data processing, particularly those deploying it in cloud environments or shared hosting setups, are at significant risk. Environments with weak input validation or inadequate network segmentation are especially vulnerable.

• java / server:

find /path/to/fedml/ -name "FileUtils.java"

• java / server:

ps aux | grep -i "FedML"

• generic web:

curl -I http://your-fedml-server/../../../../etc/passwd

1. 2026-04-05Disclosure

   disclosure

1. 予約済み2026-04-04
2. 公開日2026-04-05
3. 更新日2026-04-06
4. EPSS 更新日2026-04-12

ベンダーからの対応がないため、即時の軽減策は困難です。主な推奨事項は、パッチが適用されたFedML-AIのバージョンにアップグレードすることです。その間は、FedML-AIをホストしているサーバーで厳格なアクセス制御を実装して、機密ファイルへのアクセスを制限します。システムログを積極的に監視して、ファイル処理に関連する疑わしいアクティビティを検出します。ネットワークセグメンテーションにより、FedML-AIシステムを他の重要なリソースから分離できます。ベンダーの沈黙は、堅牢なインシデント対応計画の重要性を強調しています。