Keras の Lambda レイヤー逆シリアライズで安全モードが無効化され任意コード実行

Critical（CVSS 9.8）に分類されるkeras-team Keras 3.14.0の脆弱性です。機械学習フレームワーク Keras 3.14.0 の Lambda レイヤー逆シリアライズ処理に、安全モード（safe_mode）ガードが働かない欠陥がある。内部の _raise_for_lambda_deserialization() は safe_mode が None のとき「明示的に無効化された状態」と「既定の未設定」を区別できず、SafeModeScope の外から from_config() を呼ぶ既定経路でガードが素通りする。この結果、攻撃者が仕込んだ marshal バイトコードが逆シリアライズされ、OS レベルの任意コード実行に至る。影響を受ける呼び出しは keras.layers.deserialize(config)、keras.models.clone_model(model)、および SafeModeScope(True) で囲まれていない Lambda.from_config(config)。NVD の CVSS 3.1 基本値は 9.8（AV:N/PR:N/UI:N）で Critical、採番元 huntr.dev は UI:R を含む CVSS 3.0 で 8.8 と評価している。攻撃の実体は「信頼できないモデルファイル（.keras / HDF5 等）を読み込ませる」ことで成立するため、外部から受け取ったモデルを推論・再学習に使うパイプラインが主な露出面になる。本稿執筆時点で修正版はまだ公開されておらず、対処は回避策が中心となる。

まず稼働中の Keras のバージョンを確認する（python -c "import keras; print(keras.__version__)"）。3.14.0 が対象。本 CVE には修正版がまだ出ていないため、当面は「信頼できないモデルファイルを安全モード外で読み込まない」ことで塞ぐ。 具体的には、外部・第三者由来のモデルを読み込む処理を SafeModeScope(True) で囲む、Lambda レイヤーを含むモデルの読み込みを禁止する、モデルの入手元を信頼できる社内レジストリに限定する、の3点で露出を断つ。keras.models.load_model(..., safe_mode=True) を明示し、safe_mode=None/False のまま untrusted モデルを扱わない。修正版がリリースされ次第、速やかに更新する（keras の GitHub Releases / PyPI を監視）。

keras-team Keras 3.14.0 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-12481）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。