🇰🇷 한글 설명
BentoML 1.4.39 이하 버전에서 Dockerfile 명령 주입 취약점이 발견되었습니다. 공격자가 bentofile.yaml 또는 Bento 아카이브에 개행 문자를 포함한 조작된 데이터를 삽입하면, 컨테이너 빌드 과정에서 임의의 RUN 명령어가 실행되어 빌드 비밀 정보 탈취 및 이미지 오염이 발생할 수 있습니다.
💡 쉬운 설명
프로그램을 컨테이너로 만드는 과정에서 나쁜 명령어를 몰래 끼워 넣을 수 있는 결함입니다. 이를 통해 해커가 빌드 중인 시스템의 중요한 정보를 훔치거나 가짜 프로그램을 만들 수 있습니다.
🇺🇸 원문 (English)
BentoML through 1.4.39 contains a Dockerfile instruction injection vulnerability that allows attackers to add arbitrary build instructions by embedding newlines in docker.env mapping keys rendered by the legacy base.j2 template. Attackers can supply a crafted bentofile.yaml or imported bento archive so that bentoml containerize executes injected RUN instructions during docker build, accessing build secrets and poisoning images.
📍 영향받는 시스템
BentoML 1.4.39 이하 모든 버전
⚔️ 공격 벡터
조작된 bentofile.yaml 또는 Bento 아카이브를 통한 Dockerfile 명령 주입
🛡️ 대응 방법
BentoML을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.4.39 이하인지 확인하여 취약 여부를 판단합니다.
pip show bentoml | grep Version