🇰🇷 한글 설명
MONAI 1.6.0 이하 버전의 번들 구성 엔진에서 원격 코드 실행(RCE) 취약점이 발견되었습니다. 허용 목록 없이 _target_ 값을 임의의 호출 가능한 객체로 해석하고 $ 표현식을 Python eval()로 전달하기 때문에, 악의적인 번들을 로드할 경우 임의의 코드가 실행될 수 있습니다.
💡 쉬운 설명
나쁜 의도를 가진 사람이 만든 설정 파일을 프로그램으로 불러오기만 해도 해커의 명령어가 내 컴퓨터에서 실행될 수 있는 보안 구멍입니다. 검증되지 않은 외부 설정 파일을 불러올 때 주의가 필요합니다.
🇺🇸 원문 (English)
MONAI through 1.6.0 contains a remote code execution vulnerability in the bundle configuration engine that resolves _target_ values to arbitrary importable callables without an allow list and passes $ expressions to Python eval(). Attackers can publish a malicious bundle with crafted configuration containing arbitrary code that executes when a victim loads the bundle using monai.bundle.load() or monai.bundle.run().
📍 영향받는 시스템
MONAI 1.6.0 및 그 이전 버전
⚔️ 공격 벡터
악의적으로 조작된 MONAI 번들 파일을 제작하여 사용자가 monai.bundle.load() 또는 monai.bundle.run()을 호출하도록 유도
🛡️ 대응 방법
MONAI를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 신뢰할 수 없는 출처의 번들 파일을 로드하지 않도록 주의하십시오.
🔧 검증 코드
출력된 버전이 1.6.0 이하인 경우 해당 취약점에 노출될 가능성이 있습니다.
pip show monai | grep Version