🇰🇷 한글 설명
Ultralytics의 parse_model 함수에서 사용자 입력 문자열을 검증하지 않은 채 Python 코드로 실행하여 원격 코드 실행(RCE)이 가능한 취약점입니다. 공격자는 사용자가 악성 페이지를 방문하거나 악성 파일을 여는 상황을 유도해 현재 사용자 권한으로 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Ultralytics라는 AI 도구가 설정 문자열을 안전하지 않게 처리하고 있습니다. 누군가 악성 파일이나 페이지를 열게 만들면 공격자가 내 컴퓨터에서 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
Ultralytics parse_model Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Ultralytics. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file.
The specific flaw exists within the parse_model function. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-30121.
📍 영향받는 시스템
Ultralytics 패키지(YOLO 모델 관련 라이브러리)를 설치한 시스템, 취약 버전은 벤더 공지 및 NVD 정보 확인 필요
⚔️ 공격 벡터
사용자가 악성 페이지를 방문하거나 악성 모델/설정 파일을 열면 parse_model 함수를 통해 임의 Python 코드가 실행됨
🛡️ 대응 방법
Ultralytics를 벤더가 제공하는 최신 패치 버전으로 업데이트하고, 신뢰할 수 없는 모델 파일 로드를 피할 것
🔧 검증 코드
출력된 Version 값을 벤더 권고의 패치 버전과 비교하여 같거나 높으면 조치 완료, 낮으면 업데이트 필요로 판단
pip show ultralytics 2>/dev/null | grep -i version