🇰🇷 한글 설명
Python의 Dask distributed 패키지 2021.10.0 미만 버전에서 발견된 취약점입니다. LocalCluster 또는 Client를 사용하는 단일 머신 Dask 클러스터가 워커를 localhost가 아닌 외부 인터페이스에서 리스닝하도록 잘못 구성하여, 공격자가 원격 코드 실행(RCE)을 수행할 수 있습니다.
💡 쉬운 설명
컴퓨터 내부에서만 작동해야 할 프로그램이 외부 네트워크에서도 접속할 수 있도록 문을 열어두는 실수입니다. 이를 통해 해커가 멀리 떨어진 곳에서 내 컴퓨터에 명령을 내려 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in the Dask distributed package before 2021.10.0 for Python. Single machine Dask clusters started with dask.distributed.LocalCluster or dask.distributed.Client (which defaults to using LocalCluster) would mistakenly configure their respective Dask workers to listen on external interfaces (typically with a randomly selected high port) rather than only on localhost. A Dask cluster created using this method (when running on a machine that has an applicable port exposed) could be used by a sophisticated attacker to achieve remote code execution.
📍 영향받는 시스템
Dask distributed package versions prior to 2021.10.0
⚔️ 공격 벡터
외부로 노출된 Dask 워커 포트를 통해 악의적인 명령을 전송하여 원격 코드 실행
🛡️ 대응 방법
Dask distributed 패키지를 2021.10.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 Version 값이 2021.10.0보다 낮으면 취약한 상태입니다.
pip show distributed | grep Version