🇰🇷 한글 설명
MONAI 1.6.0 미만 버전의 nnUNetV2Runner 컴포넌트에서 OS 명령 주입 취약점이 발견되었습니다. YAML 설정 파일이나 CLI 인자에서 입력받은 값이 검증 없이 셸 명령어로 결합되어 실행되므로, 공격자가 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 설정 파일을 읽을 때 사용자가 입력한 악성 코드를 명령어로 착각하여 실행하는 보안 결함입니다. 해커가 조작된 파일을 통해 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
MONAI before 1.6.0 is vulnerable to OS command injection in the nnUNetV2Runner component (monai.apps.nnunet.nnunetv2_runner). User-controlled values taken from the YAML configuration file (notably dataset_name_or_id) and from CLI/kwargs arguments are concatenated into a command string without quoting or validation and then passed to subprocess with shell=True, so shell metacharacters (e.g., ';' on Linux, '&' on Windows) are interpreted. If a victim loads and processes a crafted configuration file — for example by instantiating nnUNetV2Runner with the malicious YAML and invoking a training/validation job such as train_single_model() — arbitrary commands are executed with the privileges of the user running the job.
📍 영향받는 시스템
MONAI version < 1.6.0 (nnUNetV2Runner component)
⚔️ 공격 벡터
조작된 YAML 설정 파일 또는 CLI 인자를 통한 OS 명령 주입
🛡️ 대응 방법
MONAI를 1.6.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.6.0 미만인지 확인하십시오.
python -c "import monai; print(monai.__version__)"
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux