🇰🇷 한글 설명
UpTrain 0.7.1 및 이전 버전의 /create_project 엔드포인트에서 checks 및 metadata 파라미터를 통한 원격 코드 실행(RCE) 취약점이 발견되었습니다. 인증된 사용자는 UpTrain이 실행 중인 호스트(대부분 도커 컨테이너)의 권한으로 임의의 코드를 실행할 수 있습니다. 현재 알려진 패치가 없습니다.
💡 쉬운 설명
UpTrain이라는 AI 평가 도구에 로그인할 수 있는 사람이 시스템을 마음대로 조종할 수 있는 보안 구멍이 있습니다. 공격자가 이 구멍을 통해 서버에 악성 명령을 내려 컴퓨터를 장악할 수 있습니다.
🇺🇸 원문 (English)
UpTrain is an open-source platform to evaluate and improve generative AI applications. In version 0.7.1 and prior, the `/create_project` endpoint is vulnerable to remote code execution via the `checks` and `metadata` parameters. Any user that has access to UpTrain and a valid authentication method may be able to execute arbitrary code in the context of the host running UpTrain, which in most cases will be the docker container as suggested by the documentation. As of time of publication, no known patch is available.
📍 영향받는 시스템
UpTrain version 0.7.1 and prior
⚔️ 공격 벡터
인증된 사용자가 /create_project 엔드포인트의 checks 또는 metadata 파라미터에 악성 코드를 삽입하여 공격
🛡️ 대응 방법
현재 공식 패치가 없으므로 해당 엔드포인트에 대한 접근 제어를 강화하거나 사용을 중단하고 패치 출시를 대기해야 함
🔧 검증 코드
출력된 버전이 0.7.1 이하라면 해당 취약점에 노출된 상태입니다.
pip show uptrain | grep -E 'Version'