🇰🇷 한글 설명
guardrails-detectors의 file_type 콘텐츠 탐지기에서 결함이 발견되었습니다. 공격자가 임의의 XML Schema Definition(XSD) 문자열을 전송할 경우 적절한 제한 없이 처리되어, 서버 측에서 임의의 URL로 요청을 보내거나 로컬 파일을 읽을 수 있습니다. 이를 통해 클라우드 자격 증명과 같은 민감한 정보가 유출되거나 내부 네트워크 서비스에 접근할 위험이 있습니다.
💡 쉬운 설명
파일 형식을 확인하는 프로그램이 잘못된 명령어를 포함한 파일을 처리할 때 발생하는 문제입니다. 해커가 이 허점을 이용해 서버 내부의 중요한 비밀번호를 훔치거나 서버를 조종할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the file_type content detector of guardrails-detectors. This vulnerability allows a remote attacker to supply an arbitrary XML Schema Definition (XSD) string, which is processed without proper restrictions. This can lead to server-side requests to arbitrary URLs or local file reads, potentially resulting in sensitive information disclosure, such as cloud provider credentials or access to internal network services.
📍 영향받는 시스템
guardrails-detectors (file_type content detector 포함 버전)
⚔️ 공격 벡터
원격 공격자가 조작된 XSD 문자열을 포함한 파일을 전송하여 서버의 취약한 처리 로직을 유도함
🛡️ 대응 방법
guardrails-detectors 라이브러리를 최신 보안 패치가 적용된 버전으로 업데이트하고, XSD 입력값에 대한 검증 로직을 강화함
🔧 검증 코드
출력된 버전이 취약점이 해결된 패치 버전인지 보안 공지 사항과 대조하여 확인합니다.
pip show guardrails-detectors 2>/dev/null | grep -E 'Version'