シリアライズライブラリ「Apache Fory」Python版に深刻な脆弱性

データのシリアライズに活用されるライブラリ「Apache Fory（旧Apache Fury）」のPython版「pyfory（旧Pyfury）」に脆弱性が明らかとなった。

信頼できないデータをデシリアライズ処理することに起因する脆弱性「CVE-2025-61622」が明らかとなったもの。「Pyfory 0.12.2」から「同0.12.0」までにくわえて、「Pyfury 0.10.3」および以前のバージョンも影響を受ける。

細工したデータストリームを処理することにより、リモートからコードを実行されるおそれがあり、同ライブラリよってシリアル化されたデータを扱うアプリケーションなども影響を受ける。

開発チームでは、現地時間9月28日に注意喚起を実施。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングした。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）も共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度「クリティカル（Critical）」と評価している。

開発チームでは現地時間9月23日に脆弱性を解消した「同0.12.3」をリリース。利用者にアップデートを呼びかけている。

（Security NEXT - 2025/10/02 ）ツイート