🇰🇷 한글 설명
Kedro의 ShelveStore 클래스에서 pickle 역직렬화를 통한 RCE 취약점으로, 악의적인 페이로드를 shelve 파일에 저장하여 임의의 Python 코드 실행이 가능합니다. 전체 시스템 장악으로 이어질 수 있습니다.
💡 쉬운 설명
Kedro 소프트웨어의 데이터 저장소에 특수하게 조작된 데이터를 저장하면 공격자가 악의적인 명령을 실행할 수 있습니다. 이를 통해 해커가 컴퓨터를 완전히 제어할 수 있습니다.
🇺🇸 원문 (English)
A Remote Code Execution (RCE) vulnerability has been identified in the Kedro ShelveStore class (version 0.19.8). This vulnerability allows an attacker to execute arbitrary Python code via deserialization of malicious payloads, potentially leading to a full system compromise. The ShelveStore class uses Python's shelve module to manage session data, which relies on pickle for serialization. Crafting a malicious payload and storing it in the shelve file can lead to RCE when the payload is deserialized.
📍 영향받는 시스템
Kedro ShelveStore (버전 0.19.8 이하)
⚔️ 공격 벡터
악의적인 pickle 페이로드를 shelve 저장소에 저장하여 역직렬화 시 임의 코드 실행
🛡️ 대응 방법
Kedro를 최신 버전으로 업그레이드하거나 shelve 저장소를 안전한 직렬화 방식으로 교체
🔧 검증 코드
Version 항목이 0.19.9 이상이면 안전, 0.19.8 이하면 취약
pip show kedro | grep Version