🇰🇷 한글 설명
OwlMixin 2.0.0a12 이전 버전의 util.py에 있는 YAML 로딩 기능의 취약점으로, safe_load() 대신 load()를 사용하여 악의적인 YAML 파일을 통해 임의의 Python 코드 실행이 가능합니다. 공격자는 YAML 파일에 Python 코드를 삽입하여 대상 시스템에서 명령어를 실행할 수 있습니다.
💡 쉬운 설명
OwlMixin이라는 라이브러리가 YAML 파일을 위험한 방식으로 읽어서, 해커가 그 파일에 악성 코드를 숨겨 컴퓨터를 완전히 제어할 수 있습니다. 마치 검사하지 않은 선물을 열 때처럼 뭐가 들어있을지 몰라 위험한 상황입니다.
🇺🇸 원문 (English)
An exploitable vulnerability exists in the YAML loading functionality of util.py in OwlMixin before 2.0.0a12. A "Load YAML" string or file (aka load_yaml or load_yamlf) can execute arbitrary Python commands resulting in command execution because load is used where safe_load should have been used. An attacker can insert Python into loaded YAML to trigger this vulnerability.
📍 영향받는 시스템
OwlMixin 2.0.0a12 이전 모든 버전
⚔️ 공격 벡터
악의적인 YAML 파일을 load_yaml() 또는 load_yamlf() 함수로 로드하여 임의의 Python 코드 실행
🛡️ 대응 방법
OwlMixin을 2.0.0a12 이상으로 업그레이드하거나 코드에서 load() 대신 safe_load() 사용
🔧 검증 코드
Version이 2.0.0a12 이상이면 안전하고, 그 이하 버전이면 취약함
pip show owlmixin 2>/dev/null | grep Version