🇰🇷 한글 설명
dataclasses-avroschema 0.44.0부터 0.70.5 버전 사이에서 Pydantic 및 AvroDantic 모델 생성기가 생성된 필드 어노테이션 내에 pydantic-class 값을 안전하게 제한하지 않고 삽입하는 취약점이 발견되었습니다. 생성된 모듈이 임포트될 때 어노테이션이 평가되므로, 조작된 값을 통해 임의의 파이썬 코드를 실행할 수 있습니다.
💡 쉬운 설명
프로그램이 자동으로 코드를 만들어내는 과정에서 보안 검사를 제대로 하지 않아 발생하는 문제입니다. 공격자가 특수하게 만든 데이터를 입력하면, 프로그램이 실행될 때 해커가 원하는 명령어를 몰래 실행할 수 있습니다.
🇺🇸 원문 (English)
dataclasses-avroschema generates Avro schemas from Python dataclasses, Pydantic models, and Faust Records and generates Python code from Avro schemas. From version 0.44.0 through 0.70.5, the Pydantic and AvroDantic model generators insert a schema field's pydantic-class value after pydantic. in a generated field annotation without safely restricting the expression. Because annotations are evaluated when the generated module is imported, a crafted value can execute arbitrary Python code. Version 0.70.6 fixes the vulnerability by restricting the value to a bare name or a call to a bare name with literal arguments.
📍 영향받는 시스템
dataclasses-avroschema 0.44.0 ~ 0.70.5
⚔️ 공격 벡터
조작된 스키마 값을 포함한 모듈을 임포트하여 임의 코드 실행(RCE)
🛡️ 대응 방법
dataclasses-avroschema를 0.70.6 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.70.5 이하이면 취약한 상태이며, 0.70.6 이상이면 안전합니다.
pip show dataclasses-avroschema 2>/dev/null | grep Version