🇰🇷 한글 설명
parisneo/lollms 9.8 버전의 Calculate 함수에서 Python eval()로 수학식을 평가할 때 발생하는 원격 코드 실행 취약점입니다. __builtins__ 비활성화 및 math 모듈만 허용하는 샌드박스를 _frozen_importlib.BuiltinImporter를 통해 우회하여 os 모듈을 로드할 수 있습니다. 공격자는 서버에서 임의 명령어를 실행 가능하며 버전 9.10에서 수정되었습니다.
💡 쉬운 설명
parisneo/lollms 계산 기능에 특별히 조작된 수식을 입력하면 해커가 서버를 제어할 수 있습니다. 버전 9.10 이상으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
A remote code execution vulnerability exists in the Calculate function of parisneo/lollms version 9.8. The vulnerability arises from the use of Python's `eval()` function to evaluate mathematical expressions within a Python sandbox that disables `__builtins__` and only allows functions from the `math` module. This sandbox can be bypassed by loading the `os` module using the `_frozen_importlib.BuiltinImporter` class, allowing an attacker to execute arbitrary commands on the server. The issue is fixed in version 9.10.
📍 영향받는 시스템
parisneo/lollms 버전 9.8 이하
⚔️ 공격 벡터
Calculate 함수에 _frozen_importlib.BuiltinImporter를 이용한 조작된 수학식 입력으로 샌드박스 우회 및 임의 코드 실행
🛡️ 대응 방법
parisneo/lollms를 버전 9.10 이상으로 즉시 업그레이드
🔧 검증 코드
Version이 9.10 이상이면 안전하고, 9.8 이하면 긴급 패치 필요
pip show lollms 2>/dev/null | grep -E 'Version'