🇰🇷 한글 설명
llSourcell Doctor-Dignity의 특정 커밋(3f2ffb6c892f13b50a708d05900d3227acb40ded)까지의 버전에서 코드 주입 취약점이 발견되었습니다. python/mlc_chat/chat_module.py 파일의 _get_lib_module 함수 내 model_lib 인자를 조작하여 원격으로 악성 코드를 실행할 수 있습니다. 현재 익스플로잇이 공개된 상태이며 프로젝트 측의 공식 대응은 아직 이루어지지 않았습니다.
💡 쉬운 설명
프로그램이 외부에서 들어오는 명령어를 제대로 검사하지 않아, 해커가 몰래 나쁜 코드를 심어 실행할 수 있는 문제입니다. 인터넷을 통해 멀리 떨어진 곳에서도 공격이 가능하며 이미 공격 방법이 알려져 있어 주의가 필요합니다.
🇺🇸 원문 (English)
A vulnerability was found in llSourcell Doctor-Dignity up to 3f2ffb6c892f13b50a708d05900d3227acb40ded. This impacts the function _get_lib_module of the file python/mlc_chat/chat_module.py. The manipulation of the argument model_lib results in code injection. The attack may be launched remotely. The exploit has been made public and could be used. This product operates on a rolling release basis, ensuring continuous delivery. Consequently, there are no version details for either affected or updated releases. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
llSourcell Doctor-Dignity (commit 3f2ffb6c892f13b50a708d05900d3227acb40ded 이하 버전)
⚔️ 공격 벡터
원격에서 model_lib 인자 값을 조작하여 악성 코드를 주입하는 방식
🛡️ 대응 방법
해당 라이브러리의 최신 업데이트를 확인하거나, 입력값 검증 로직이 포함된 패치를 적용해야 합니다.
🔧 검증 코드
출력된 커밋 해시값이 취약한 커밋(3f2ffb6c892f13b50a708d05900d3227acb40ded)과 같거나 그 이전인지 확인합니다.