La Zero Day Initiative ha reso pubblica il 15 luglio 2026 l'advisory ZDI-26-411 su una vulnerabilità nel framework NVIDIA NVTabular. La falla, tracciata come CVE-2026-24237 con punteggio CVSS 7.8 su scala HIGH, sfrutta la deserializzazione non controllata di file pickle per eseguire codice Python arbitrario nel contesto del processo target.
- Il difetto risiede nel parsing di file pickle in NVTabular: mancata validazione dei dati utente consente deserializzazione di oggetti non attendibili.
- L'impatto documentato è esecuzione remota di codice arbitrario (RCE) nel processo corrente, con compromissione completa di confidenzialità, integrità e disponibilità.
- L'exploitation richiede interazione utente: la vittima deve visitare una pagina malevola o aprire un file pickle compromesso.
- NVIDIA ha rilasciato un aggiornamento correttivo; la pubblicazione coordinata è avvenuta il 15 luglio 2026 dopo una disclosure iniziata il 14 aprile 2026.
- Le versioni specifiche affette non sono dichiarate nelle fonti disponibili.
FATTO Il meccanismo: pickle come vettore di esecuzione
Il formato pickle di Python permette la serializzazione e deserializzazione di oggetti Python. L'advisory ZDI-26-411 descrive la catena di fallimento: il parser di NVTabular elabora file pickle senza implementare controlli di integrità, permettendo a un attaccante di iniettare oggetti che eseguono codice al momento della deserializzazione.
Il codice viene eseguito con i privilegi del processo NVTabular. NVTabular opera come componente di preprocessing in pipeline di machine learning per dati tabulari su larga scala, con integrazioni dirette con cuDF, Dask e TensorFlow.
"The specific flaw exists within the parsing of pickle files. The issue results from the lack of proper validation of user-supplied data, which can result in deserialization of untrusted data." — ZDI Advisory ZDI-26-411
FATTO Discrepanze nel rating: CVSS vs advisory ZDI
Il record CVE-2026-24237 pubblicato su cve.org assegna il vettore CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, che indica Attack Vector Local e User Interface None. Il testo dell'advisory ZDI dichiara invece che "User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file" e parla di "remote attackers".
Il campo AV:L nel CVSS probabilmente riflette che l'esecuzione del codice avviene nel contesto di un processo già in esecuzione sulla macchina target, mentre "remote" nell'advisory si riferisce all'origine dell'attaccante che consegna il payload. La discrepanza UI:N versus interazione richiesta resta non risolta nelle fonti disponibili.
ANALISI Contesti di rischio per operatori
NVTabular è posizionato come soluzione di riferimento per il feature engineering accelerato su GPU. Il framework elabora dati tabulari su larga scala in pipeline di machine learning, tipicamente in ambienti data science e MLOps.
Dataset preprocessati in formato pickle circolano attraverso repository pubblici, bucket cloud condivisi e pipeline CI/CD. Un file pickle compromesso inserito in un flusso di dati attendibile può raggiungere il parser di NVTabular senza ulteriori controlli di sicurezza.
La fonte ZDI non specifica se l'ambiente tipico di deployment esponga il framework a input diretti da utenti non attendibili, né documenta casi di exploitation attiva. L'architettura comune di NVTabular, tuttavia, prevede l'elaborazione di dataset provenienti da fonti esterne, che amplifica la superficie di attacco nel caso di catene di supply chain dei dati compromesse.
FATTO Cosa cambia
NVIDIA ha rilasciato un aggiornamento per correggere la vulnerabilità. La pubblicazione coordinata dell'advisory ZDI-26-411 è avvenuta il 15 luglio 2026, a seguito di una segnalazione iniziale il 14 aprile 2026.
Il silenzio sulle versioni specifiche affette nelle fonti primarie lascia agli operatori il compito di verificare la propria esposizione attraverso i canali di supporto NVIDIA. L'assenza di un elenco versionale impedisce la stima immediata della propria superficie di attacco senza contatto diretto con il vendor.
ANALISI Perché è importante
La vulnerabilità CVE-2026-24237 si colloca in un punto critico dell'ecosistema machine learning. NVTabular gestisce dati tabulari preprocessati che alimentano modelli di produzione; la compromissione di questa fase di pipeline consente attacchi con effetto a valle sui sistemi decisionali.
Il formato pickle, per sua natura intrinseca, non è progettato per la deserializzazione sicura di dati non attendibili. La scelta di utilizzare pickle come formato di input senza sandboxing o validazione strutturale rappresenta una decisione architetturale che espone le applicazioni a rischi noti da tempo nel panorama della sicurezza Python.
Il punteggio CVSS 7.8, con impatto HIGH su confidenzialità, integrità e disponibilità, classifica la vulnerabilità come prioritaria per gli ambienti che processano dati sensibili attraverso pipeline NVTabular. La combinazione di RCE con elevato impatto CIA e la relativa semplicità di exploitation tramite file pickle malevolo rende la minaccia concreta per organizzazioni che non tracciano la provenienza dei dataset preprocessati.
Dichiarazione dei limiti di verificabilità
Questo articolo si basa su tre fonti primarie strutturate: l'advisory ZDI-26-411, la conferma di pubblicazione nella lista ZDI, e il record CVE-2026-24237. I seguenti elementi non sono verificati nelle fonti disponibili: versioni specifiche di NVTabular affette, dettagli tecnici esatti del payload pickle, presenza di exploit pubblico o dimostrazione PoC, entità dell'adozione di NVTabular in ambienti di produzione esposti, corretta interpretazione della discrepanza AV:L/UI:N nel CVSS rispetto alla descrizione ZDI, URL diretto del patch NVIDIA al di fuori del riferimento ZDI.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-411/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2026-24237
- https://www.trendmicro.com/en_us/business/products/one-platform.html