🇰🇷 한글 설명
Ultralytics의 check_det_dataset 함수에서 사용자 입력 문자열에 대한 적절한 검증 없이 Python 코드를 실행하는 취약점입니다. 원격 공격자는 악성 페이지 방문이나 악성 파일 열기를 유도하여 현재 사용자 권한으로 임의 코드를 실행할 수 있습니다. 사용자 상호작용이 필요하며 ZDI-CAN-30119로 등록되었습니다.
💡 쉬운 설명
Ultralytics라는 AI 비전 도구가 입력값을 제대로 검사하지 않아, 악성 파일이나 웹페이지를 열면 공격자가 내 컴퓨터에서 명령을 실행할 수 있습니다. 이 도구를 사용하는 경우 즉시 업데이트해야 합니다.
🇺🇸 원문 (English)
Ultralytics check_det_dataset Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Ultralytics. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file.
The specific flaw exists within the check_det_dataset function. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-30119.
📍 영향받는 시스템
Ultralytics 패키지를 사용하는 Python 환경 (정확한 영향 버전은 벤더 공지 확인 필요)
⚔️ 공격 벡터
사용자가 악성 페이지를 방문하거나 악성 데이터셋 파일을 열면 check_det_dataset 함수를 통해 임의 Python 코드가 실행됨
🛡️ 대응 방법
Ultralytics를 벤더가 제공하는 최신 패치 버전으로 업그레이드하고, 신뢰할 수 없는 데이터셋 파일을 열지 않도록 합니다.
🔧 검증 코드
출력되는 Version 값을 벤더의 패치 공지에서 확인된 수정 버전과 비교하여, 같거나 높으면 패치 적용된 것이고 낮으면 업그레이드가 필요합니다.
pip show ultralytics 2>/dev/null | grep -i version