🇰🇷 한글 설명
Hydra 프레임워크의 hydra-optuna-sweeper 패키지에서 설정 제어가 가능한 점을 악용하여 임의의 Python 코드를 실행할 수 있는 취약점입니다. 공격자가 Optuna 스윕 설정이나 명령줄 오버라이드를 제어할 수 있다면, get_method() 함수를 통해 신뢰할 수 없는 코드를 호출하여 애플리케이션 권한으로 실행할 수 있습니다.
💡 쉬운 설명
프로그램 설정값을 조작하여 해커가 원하는 악성 명령어를 몰래 실행할 수 있는 보안 구멍이 발견되었습니다. 이로 인해 해커가 사용자의 컴퓨터에서 허락 없이 코드를 돌릴 위험이 있습니다.
🇺🇸 원문 (English)
Hydra is a framework for elegantly configuring complex applications. From 1.2.0 until 1.3.0 and 1.4.0.dev10, the hydra-optuna-sweeper package accepts a configuration-controlled dotted path in hydra.sweeper.custom_search_space, resolves it with hydra.utils.get_method(), and later invokes the returned callable in the Hydra controller process. Because get_method() is a trusted-input lookup helper and does not apply the execution policy used by instantiate(), an attacker who controls Optuna sweep configuration or command-line overrides can select importable Python code for execution with the application's privileges, including bypassing a trusted execution whitelist on affected Hydra 1.4 development releases. This issue is fixed in versions 1.3.0 and 1.4.0.dev10.
📍 영향받는 시스템
Hydra 1.2.0 ~ 1.3.0 및 1.4.0.dev10 버전 (hydra-optuna-sweeper 패키지 포함)
⚔️ 공격 벡터
Optuna 스윕 설정 또는 명령줄 인자(command-line overrides)를 통한 조작된 점 표기 경로(dotted path) 주입
🛡️ 대응 방법
Hydra를 1.3.0 또는 1.4.0.dev10 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약한 범위(1.2.0~1.3.0 또는 1.4.0.dev10 미만)에 해당하는지 확인하십시오.
pip show hydra-core hydra-optuna-sweeper | grep -E 'Name:|Version'