🇰🇷 한글 설명
Sony Neural Network Libraries 1.39.0 이하 버전의 encode_decode_param.py 파일 내 load_param_in_txt 함수에서 취약점이 발견되었습니다. 이 취약점은 코드 인젝션을 허용하며 원격 공격이 가능하고 공개된 익스플로잇이 존재합니다. 벤더에 사전 연락했으나 응답이 없었으며, 이미 지원이 종료된 제품에만 영향을 미칩니다.
💡 쉬운 설명
Sony의 신경망 라이브러리 일부 기능에 악성 코드를 삽입할 수 있는 결함이 있습니다. 공격자가 원격으로 이를 악용할 수 있으나, 이 제품은 이미 지원이 종료되어 보안 업데이트가 제공되지 않습니다.
🇺🇸 원문 (English)
A vulnerability was identified in Sony Neural Network Libraries up to 1.39.0. This affects the function load_param_in_txt of the file python/src/nnabla/utils/cli/encode_decode_param.py of the component Encode Param Command Handler. Such manipulation leads to code injection. It is possible to launch the attack remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.
📍 영향받는 시스템
Sony Neural Network Libraries 1.39.0 이하 버전 (지원 종료된 제품)
⚔️ 공격 벡터
조작된 파라미터 입력을 통한 원격 코드 인젝션 (공개 익스플로잇 존재)
🛡️ 대응 방법
지원이 종료되었으므로 해당 라이브러리를 최신 지원 버전으로 교체하거나 사용을 중단하고, 신뢰할 수 없는 입력의 load_param_in_txt 처리를 차단하세요.
🔧 검증 코드
출력된 Version 값이 1.39.0 이하이면 취약한 버전이므로 업그레이드 또는 교체가 필요하며, 명령이 아무 결과도 없으면 해당 패키지가 설치되어 있지 않은 것입니다.
pip show nnabla 2>/dev/null | grep -E 'Version'