CVE-2026-56121: Desserialização insegura no Feast permite execução remota de código pelo registry gRPC

Visão geral

A CVE-2026-56121 é uma falha de desserialização (CWE-502) no Feast, uma plataforma de feature store de código aberto. Segundo o registro, o servidor de registro decodifica um campo de uma especificação OnDemandFeatureView e o passa para dill.loads() antes de a autorização ser verificada. O registro descreve o problema como afetando versões do Feast anteriores à 0.63.0.

Impacto

O registro afirma que atacantes não autenticados ou não autorizados podem alcançar execução remota de código.
O código seria executado com a conta de serviço do feast.
O registro atribui pontuação CVSS 3.1 de 9.8 (vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), com severidade crítica. Também lista pontuação CVSS 4.0 de 9.3 da mesma CNA.
No vetor CVSS 3.1, os impactos de confidencialidade, integridade e disponibilidade são classificados como altos.

Produtos e versões afetados

O registro descreve o Feast anterior à 0.63.0 como afetado.
Os campos estruturados de afetados e correções estão vazios no registro, portanto não há lista de produtos nem metadados de versão corrigida além da descrição.
Uma versão marcada como v0.63.0 é referenciada no registro, o que sugere que essa é a versão de atualização relevante. Trata-se de inferência a partir da descrição e da lista de referências.

Status de exploração

A vulnerabilidade não consta no catálogo KEV da CISA no registro.
Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Dados de EPSS e SSVC não estão presentes no registro.

Correção e mitigação

Verifique a versão do Feast em uso e planeje a atualização para a 0.63.0 ou posterior, em linha com a versão referenciada no registro.
Consulte os avisos do fornecedor e da CNA indicados nas referências para a correção oficial e as orientações autorizadas.
Enquanto não houver correção, restrinja a exposição de rede do endpoint gRPC do registro apenas a clientes confiáveis e redes internas.
Execute o serviço feast com permissões mínimas, de modo que um comprometimento tenha impacto reduzido.
Trate o acesso ao registro como sensível e aplique controles de autenticação e autorização nas camadas de rede e de plataforma sempre que possível.

Orientações de detecção

Monitore os logs do servidor de registro em busca de requisições gRPC incomuns, especialmente de origens desconhecidas ou em horários inesperados.
Revise as definições de OnDemandFeatureView armazenadas em busca de conteúdo codificado inesperado ou excessivamente grande no campo de função definida pelo usuário.
Observe processos filhos, conexões de saída ou alterações de arquivos inesperados originados da conta de serviço do feast.
Gere alertas para anomalias de autenticação ou autorização no endpoint do registro.

Limitações das informações disponíveis

O registro não inclui faixas estruturadas de versões afetadas, metadados de versão corrigida nem datas de prazo do KEV.
A pontuação CVSS 3.1 de 8.8 de um segundo provedor aparece sem fonte nomeada, portanto o contexto é desconhecido.
O registro não informa com precisão qual versão do Feast introduziu a falha.
As fontes consultadas não confirmam a existência de código de exploração público; esta análise não fornece detalhes de exploração.

Perguntas frequentes

Qual é o problema central da CVE-2026-56121?

Segundo o registro, o Feast anterior à 0.63.0 decodifica e desserializa um campo de uma especificação OnDemandFeatureView antes de verificar a autorização, caracterizando uma desserialização insegura.

Há exploração ativa conhecida?

O registro não a lista no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer primeiro?

Identifique implantações do Feast abaixo da 0.63.0, planeje a atualização em linha com a versão referenciada e restrinja a exposição de rede do endpoint do registro até a correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.