🇰🇷 한글 설명
MONAI 1.2.0 이상 1.6.1 미만 버전의 ConfigWorkflow.__init__에서 원격 코드 실행 취약점이 존재합니다. 번들의 configs/logging.conf를 logging.config.fileConfig에 전달하는데, 이 함수가 handler 클래스와 args 필드를 eval()하여 악의적인 번들을 로드하면 임의의 Python 코드가 실행됩니다.
💡 쉬운 설명
의료 영상 AI 도구인 MONAI에서 설정 파일을 읽는 과정에 결함이 있습니다. 공격자가 만든 악성 번들을 사용자가 열거나 실행하면 공격자의 코드가 사용자 컴퓨터에서 실행될 수 있습니다.
🇺🇸 원문 (English)
MONAI from 1.2.0 before 1.6.1 contains a remote code execution vulnerability in ConfigWorkflow.__init__, which passes a bundle's configs/logging.conf to logging.config.fileConfig that eval()s handler class and args fields. Attackers can publish a malicious bundle whose logging.conf runs arbitrary Python at workflow construction when a victim loads or runs the bundle.
📍 영향받는 시스템
MONAI 1.2.0 이상 1.6.1 미만 버전을 사용하는 모든 시스템
⚔️ 공격 벡터
공격자가 logging.conf에 악성 코드를 삽입한 번들을 배포하고, 피해자가 이를 로드하거나 실행하면 워크플로 생성 시 코드가 실행됨
🛡️ 대응 방법
MONAI를 1.6.1 이상으로 업그레이드하고, 신뢰할 수 없는 출처의 번들을 로드하지 않도록 합니다.
🔧 검증 코드
출력된 Version 값이 1.2.0 이상 1.6.1 미만이면 취약하므로 1.6.1 이상으로 업그레이드가 필요하며, 설치되어 있지 않으면 결과가 비어 있습니다.
pip show monai 2>/dev/null | grep -i version