🇰🇷 한글 설명
Pydantic AI 프레임워크의 web_fetch_tool 및 WebFetch 로컬 폴백 프로세스에서 발생하는 취약점입니다. 공격자가 제어하는 페이지를 통해 제목 추출 및 데이터 정규화 과정에서 과도한 연산을 유발하여 이벤트 루프를 차단할 수 있습니다. 이로 인해 다른 에이전트 실행과 요청이 중단되는 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
AI가 웹 페이지 내용을 읽어올 때, 악의적으로 만들어진 복잡한 웹 페이지를 만나면 AI 시스템이 계산을 하느라 멈춰버리는 문제입니다. 이로 인해 AI 서비스 전체가 응답하지 않거나 느려질 수 있습니다.
🇺🇸 원문 (English)
Pydantic AI is a Python agent framework for building applications and workflows with Generative AI. From 1.77.0 until 1.107.6 and 2.44.0, the local web_fetch_tool and the WebFetch local fallback process server-controlled responses with quadratic title extraction, whitespace normalization, and ordered-list numbering. An attacker-controlled page of modest size can therefore block the event loop for an extended period, stalling other agent runs and requests, while unsupported codecs or excessive HTML or JSON nesting can abort an individual run. This issue is fixed in versions 1.107.6 and 2.44.0.
📍 영향받는 시스템
Pydantic AI versions 1.77.0 to 1.107.6 and 2.44.0
⚔️ 공격 벡터
공격자가 조작된 HTML/JSON 구조를 가진 웹 페이지를 제공하여 AI의 데이터 처리 프로세스에 과부하 유발
🛡️ 대응 방법
Pydantic AI를 최신 보안 패치 버전인 1.107.6 또는 2.44.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.107.6 미만이거나 2.44.0 미만인 경우 취약한 버전입니다.
pip show pydantic-ai | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server