Fugueは、ユーザーがPython、Pandas、およびSQLコードをSpark、Dask、Ray上で最小限の書き換えで実行できる統合インターフェースです。バージョン0.9.2以前には、FlaskRPCServerを介したpickleデシリアライズによってリモートコードが実行される脆弱性が存在します。Fugueフレームワークは分散コンピューティング操作のためにRPCサーバーシステムを実装しています。そのRPCサーバー実装のコア機能では、fugue/rpc/flask.pyの_decode()関数がcloudpickle.loads()を使用して、データを無加工でデシリアライズしています。その結果、RPCサーバーが悪意のあるpickleデータを処理すると、リモートコードが実行される脆弱性が発生します。この脆弱性は、クライアントが任意のシリアライズ済みPythonオブジェクトをサーバーに送信でき、その内容がサーバー側でデシリアライズされるため、攻撃者が被害者のマシン上で任意のコードを実行できるという点にあります。この問題はコミット6f25326によって修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。