🇰🇷 한글 설명
NLTK 3.8.1 이하 버전에서 악의적인 pickled Python 코드가 포함된 데이터 패키지를 다운로드할 때 원격 코드 실행이 가능합니다. averaged_perceptron_tagger와 punkt 등의 자동 다운로드 기능을 통해 공격자가 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
NLTK 라이브러리가 인터넷에서 자동으로 다운로드하는 데이터에 악성 코드가 섞여있어 공격자가 컴퓨터를 장악할 수 있습니다. NLTK를 사용하는 애플리케이션이라면 누구나 공격받을 위험이 있습니다.
🇺🇸 원문 (English)
NLTK through 3.8.1 allows remote code execution if untrusted packages have pickled Python code, and the integrated data package download functionality is used. This affects, for example, averaged_perceptron_tagger and punkt.
📍 영향받는 시스템
NLTK 3.8.1 이하 버전 (averaged_perceptron_tagger, punkt 등 데이터 패키지 자동 다운로드 기능)
⚔️ 공격 벡터
pickled 데이터 패키지를 악의적으로 생성하고 NLTK 자동 다운로드 경로에 배치하여 코드 실행
🛡️ 대응 방법
NLTK를 3.8.2 이상으로 업그레이드하고 신뢰할 수 있는 출처에서만 패키지 다운로드
🔧 검증 코드
Version이 3.8.1 이하면 취약, 3.8.2 이상이면 패치됨
pip show nltk | grep Version