🇰🇷 한글 설명
Tofu 0.2에서 조작된 Pickle 객체를 통해 원격 공격자가 임의의 Python 코드를 실행할 수 있는 취약점입니다. 이는 Tofu가 신뢰할 수 없는 Pickle 데이터를 안전성 검사 없이 역직렬화하여 발생합니다.
💡 쉬운 설명
Tofu 프로그램이 악의적으로 조작된 파일을 받으면 공격자가 컴퓨터에서 원하는 명령어를 실행할 수 있습니다. 프로그램이 데이터의 안전성을 확인하지 않고 바로 실행하기 때문입니다.
🇺🇸 원문 (English)
Tofu 0.2 allows remote attackers to execute arbitrary Python code via crafted pickled objects, which Tofu unpickles and executes.
📍 영향받는 시스템
Tofu 버전 0.2 및 이전 버전
⚔️ 공격 벡터
조작된 Pickle 직렬화 객체를 네트워크를 통해 전송하여 원격 코드 실행 유도
🛡️ 대응 방법
Tofu를 최신 버전으로 업그레이드하고 신뢰할 수 없는 출처의 Pickle 데이터 역직렬화 제거
🔧 검증 코드
설치된 Tofu의 버전을 확인하고 0.2 이하면 취약함을 의미하며 Not installed가 나오면 영향 없음
pip show tofu 2>/dev/null | grep Version || echo 'Not installed'