🇰🇷 한글 설명
UpTrain 0.7.1 및 이전 버전의 /new_run 엔드포인트에서 checks 및 metadata 파라미터를 통해 원격 코드 실행(RCE) 취약점이 발생합니다. 인증된 사용자는 UpTrain이 실행 중인 호스트(대부분 Docker 컨테이너)의 권한으로 임의의 코드를 실행할 수 있습니다. 현재 알려진 패치가 없습니다.
💡 쉬운 설명
UpTrain이라는 AI 평가 도구에 로그인할 수 있는 사람이 시스템을 마음대로 조종할 수 있는 보안 구멍이 발견되었습니다. 공격자가 이 취약점을 이용하면 프로그램이 돌아가는 컴퓨터에 몰래 명령을 내려 위험한 행동을 할 수 있습니다.
🇺🇸 원문 (English)
UpTrain is an open-source platform to evaluate and improve generative AI applications. In version 0.7.1 and prior, the `/new_run` endpoint is vulnerable to remote code execution via the `checks` and `metadata` parameters. Any user that has access to UpTrain and a valid authentication method may be able to execute arbitrary code in the context of the host running UpTrain, which in most cases will be the docker container as suggested by the documentation. As of time of publication, no known patch is available.
📍 영향받는 시스템
UpTrain version 0.7.1 and prior
⚔️ 공격 벡터
인증된 사용자가 /new_run 엔드포인트의 checks 또는 metadata 파라미터에 악성 코드를 삽입하여 공격
🛡️ 대응 방법
현재 공식 패치가 없으므로 해당 엔드포인트에 대한 접근 제어를 강화하거나 사용을 중단해야 합니다.
🔧 검증 코드
출력된 버전이 0.7.1 이하이면 해당 취약점에 노출된 상태입니다.
pip show uptrain | grep -E 'Version'