🇰🇷 한글 설명
skops는 scikit-learn 기반 모델을 공유하고 배포하는 Python 라이브러리입니다. 0.11.0 이하 버전에서 MethodNode의 불일치로 인해 점 표기법을 통해 예상치 못한 객체 필드에 접근할 수 있으며, 로드 시점에 임의의 코드 실행이 가능합니다. 이 취약점은 신뢰할 수 있는 타입에 대한 가정이 더 적어 이전 유사 취약점보다 더 심각합니다.
💡 쉬운 설명
skops 모델 파일을 로드할 때 악의적인 파일이 컴퓨터에서 원하는 프로그램을 실행할 수 있습니다. 신뢰할 수 없는 출처의 모델 파일은 절대 실행하면 안 됩니다.
🇺🇸 원문 (English)
skops is a Python library which helps users share and ship their scikit-learn based models. Versions 0.11.0 and below contain an inconsistency in MethodNode, which can be exploited to access unexpected object fields through dot notation. This can be used to achieve arbitrary code execution at load time. While this issue may seem similar to GHSA-m7f4-hrc6-fwg3, it is actually more severe, as it relies on fewer assumptions about trusted types. This is fixed in version 12.0.0.
📍 영향받는 시스템
skops <= 0.11.0
⚔️ 공격 벡터
Malicious skops model files exploiting MethodNode dot notation to achieve arbitrary code execution during deserialization
🛡️ 대응 방법
Update skops to version 12.0.0 or later
🔧 검증 코드
Version >= 12.0.0이면 안전, 0.11.0 이하면 취약 상태
python -c "import skops; print(skops.__version__)" 2>/dev/null || echo 'not installed'