CVE-2026-9147: TStreamerInfo मेटाडेटा के माध्यम से uproot कोड इंजेक्शन

गंभीरता: उच्च, CVSS 4.0 8.5, CVSS 3.1 7.8 (VulnCheck, CNA द्वारा निर्धारित)

वेक्टर (v4.0): CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

वेक्टर (v3.1): CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

प्रभावित: uproot <= 5.7.4

में ठीक किया गया: 5.7.5 / कमिट c045c28

CWE: CWE-94 (कोड जनरेशन का अनुचित नियंत्रण, कोड इंजेक्शन); द्वितीयक CWE-95 (Eval इंजेक्शन)

खोजकर्ता और रिपोर्टर: Sai Teja Erukude

प्रकाशित: 18 जुलाई, 2026

सारांश

uproot 5.7.4 और उससे पहले के संस्करण ROOT TStreamerInfo मेटाडेटा से गतिशील रूप से Python क्लास स्रोत उत्पन्न करते हैं और उसे रनटाइम पर कंपाइल करते हैं।

कुछ फ़ाइल-नियंत्रित स्ट्रीमर मेटाडेटा फ़ील्ड को सुरक्षित कोटिंग के बिना उत्पन्न Python स्रोत में इंटरपोलेट किया जाता है। एक हमलावर जो एक तैयार किया गया ROOT फ़ाइल प्रदान कर सकता है, वह स्ट्रीमर मेटाडेटा में Python एक्सप्रेशन को तोड़ने वाली सामग्री इंजेक्ट कर सकता है, जैसे कि एक तैयार किया गया एलिमेंट नाम।

जब कोई प्रभावित एप्लिकेशन तैयार की गई ROOT फ़ाइल खोलता है और uproot संबंधित रीडर मेथड उत्पन्न करके उसे इनवोक करता है, तो इंजेक्ट किया गया Python एक्सप्रेशन होस्टिंग प्रोसेस के संदर्भ में निष्पादित हो सकता है।

प्रभाव

एक हमलावर उन एप्लिकेशन में मनमाना Python कोड निष्पादित कर सकता है जो प्रभावित uproot कोड पाथ के साथ हमलावर-नियंत्रित ROOT फ़ाइलें खोलते या प्रोसेस करते हैं।

एप्लिकेशन के आधार पर, यह निम्नलिखित की अनुमति दे सकता है:

प्रोसेस के लिए सुलभ फ़ाइलों को पढ़ना या संशोधित करना।
पर्यावरण चर और एप्लिकेशन रहस्यों तक पहुँचना।
होस्ट से पहुँचने योग्य आंतरिक सेवाओं को कॉल करना।
डेटा-प्रोसेसिंग जॉब्स या एप्लिकेशन व्यवहार को बाधित करना।

तकनीकी विवरण

यह समस्या ROOT स्ट्रीमर मेटाडेटा के लिए uproot के जनरेटेड-सोर्स पाथ में है।

PoC एक ExploitTarget क्लास के लिए तैयार किया गया TStreamerInfo मेटाडेटा युक्त ROOT फ़ाइल बनाता है। तैयार किया गया स्ट्रीमर एलिमेंट नाम जनरेट किए गए एक्सप्रेशन से बाहर निकलता है और एक सौम्य pathlib कॉल इंजेक्ट करता है।

रिपोर्ट किया गया व्यवहार इस प्रकार है:

uproot तैयार की गई ROOT फ़ाइल खोलता है।
uproot फ़ाइल-आधारित TStreamerInfo मेटाडेटा पढ़ता है।
uproot ExploitTarget के लिए Python क्लास स्रोत उत्पन्न करता है।
जनरेट किए गए क्लास स्रोत में इंजेक्ट किया गया एक्सप्रेशन होता है।
जनरेट किए गए read_members मेथड को इनवोक करने पर इंजेक्ट किया गया एक्सप्रेशन निष्पादित होता है।

प्रूफ़ ऑफ़ कॉन्सेप्ट

root_file_builder.py तैयार किए गए स्ट्रीमर मेटाडेटा के साथ malicious_tstreamerinfo.root बनाता है।

run_poc.py uproot के साथ फ़ाइल खोलता है, फ़ाइल-आधारित ExploitTarget क्लास के जनरेशन को बाध्य करता है, जनरेट किए गए read_members मेथड को इनवोक करता है, और मार्कर-फ़ाइल साक्ष्य को सत्यापित करता है।

केवल स्थानीय परीक्षण वातावरण में चलाएँ:

python -m venv .venv
.venv\Scripts\activate
python -m pip install -r requirements.txt
python -B run_poc.py

संवेदनशील संस्करणों पर अपेक्षित प्रमाण:

uproot_version: 5.7.4
file_backed_element_name_contains_payload: True
class_code_contains_injected_pathlib_call: True
expected_exception: True
exception_type: DeserializationError
marker_exists: True
marker_contents:
executed through uproot generated read_members
success: True

पेलोड जानबूझकर हानिरहित है। यह केवल यह स्थानीय मार्कर स्ट्रिंग लिखता है:

executed through uproot generated read_members

यह शेल स्पॉन नहीं करता, नेटवर्क सेवा से कनेक्ट नहीं होता, सीक्रेट्स नहीं पढ़ता, डेटा नहीं हटाता, या PoC निर्देशिका के बाहर फ़ाइलों को संशोधित नहीं करता।

उपचार

uproot 5.7.5 या उसके बाद के संस्करण में अपग्रेड करें।

यदि तत्काल अपग्रेड संभव न हो:

अविश्वसनीय उपयोगकर्ताओं से प्राप्त ROOT फ़ाइलों को प्रोसेस न करें।
ROOT-फ़ाइल प्रोसेसिंग कार्यों को न्यूनतम विशेषाधिकारों के साथ अलग रखें।
प्रोसेसिंग से पहले अप्रत्याशित TStreamerInfo मेटाडेटा को सत्यापित करें या अस्वीकार करें।
ऐसे वर्कफ़्लो से बचें जो अपलोड की गई या बाहरी रूप से प्रदान की गई ROOT फ़ाइलों को स्वचालित रूप से खोलते हैं।

प्रकटीकरण समयरेखा

तिथि	घटना
20 मई, 2026	भेद्यता VulnCheck को सबमिट की गई
20 मई, 2026	VulnCheck ने संपर्क आरंभ किया; `CVE-2026-9147` अस्थायी रूप से आवंटित
5 जुलाई, 2026	पैच के साथ uproot `5.7.5` जारी
18 जुलाई, 2026	`CVE-2026-9147` प्रकाशित

श्रेय

Sai Teja Erukude द्वारा खोजा और रिपोर्ट किया गया।

प्रकटीकरण का समन्वय VulnCheck के माध्यम से किया गया।

संदर्भ

CVE रिकॉर्ड: https://www.cve.org/CVERecord?id=CVE-2026-9147
NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-9147
VulnCheck सलाह: https://www.vulncheck.com/advisories/uproot-and-before-code-injection-via-tstreamerinfo-metadata
GitHub सलाह: https://github.com/scikit-hep/uproot5/security/advisories/GHSA-6946-mq52-g438
पैच कमिट: https://github.com/scikit-hep/uproot5/commit/c045c2824295d907d2e705f31110c742928e50e7
uproot प्रोजेक्ट: https://github.com/scikit-hep/uproot5

CVE-2026-9147-uproot-rce

सबसे लोकप्रिय