🇰🇷 한글 설명
Hugging Face Transformers HuBERT에서 convert_config 함수를 이용한 원격 코드 실행 취약점
💡 쉬운 설명
Hugging Face Transformers HuBERT에서 사용자 입력을 제대로 검증하지 않아 원격 공격자가 임의의 코드를 실행할 수 있는 취약점입니다. 공격자는 사용자가 악성 체크포인트를 변환하게 유도하여 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Hugging Face Transformers HuBERT convert_config Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Hugging Face Transformers. User interaction is required to exploit this vulnerability in that the target must convert a malicious checkpoint.
The specific flaw exists within the convert_config function. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-28253.
📍 영향받는 시스템
Hugging Face Transformers HuBERT
⚔️ 공격 벡터
사용자 입력을 이용한 원격 코드 실행
🛡️ 대응 방법
Hugging Face Transformers HuBERT를 최신 버전으로 업데이트하고, 사용자 입력을 신뢰할 수 없는 경우에는 입력을 검증하여 악성 코드가 포함되지 않은지 확인합니다.
🔧 검증 코드
로컬 시스템에서 Python을 실행하여 Hugging Face Transformers의 버전을 확인합니다. 버전이 4.24.0 미만인 경우 취약한 버전입니다. Python과 transformers 패키지가 설치되어 있어야 합니다.
import pkg_resources
version = pkg_resources.get_distribution('transformers').version
if version < '4.24.0':
print({"result": "취약", "reason": "Hugging Face Transformers 버전이 4.24.0 미만"})
else:
print({"result": "양호", "reason": "Hugging Face Transformers 버전이 4.24.0 이상"})