🇰🇷 한글 설명
Aeon 라이브러리의 load_human_activity_segmentation_datasets 메서드에서 발생하는 코드 주입 및 원격 코드 실행 취약점입니다. 사용자 입력 문자열에 대한 적절한 검증이 이루어지지 않아, 공격자가 임의의 파이썬 코드를 실행할 수 있습니다. 공격을 위해서는 사용자가 악성 페이지를 방문하거나 악성 파일을 열어야 하는 상호작용이 필요합니다.
💡 쉬운 설명
프로그램이 사용자가 입력한 데이터를 검사하지 않고 그대로 실행하여 발생하는 보안 문제입니다. 해커가 만든 파일을 열거나 링크를 클릭하면 해커가 내 컴퓨터에서 원하는 명령을 마음대로 내릴 수 있습니다.
🇺🇸 원문 (English)
Aeon load_human_activity_segmentation_datasets Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of aeon. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file.
The specific flaw exists within the load_human_activity_segmentation_datasets method. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-29160.
📍 영향받는 시스템
Aeon 라이브러리 (load_human_activity_segmentation_datasets 메서드 사용 버전)
⚔️ 공격 벡터
사용자가 악성 파일이나 웹 페이지를 열도록 유도하여 입력값에 포함된 악성 코드를 실행
🛡️ 대응 방법
Aeon 라이브러리를 최신 보안 패치 버전으로 업데이트하고 사용자 입력값에 대한 검증 로직을 강화함
🔧 검증 코드
출력된 Aeon의 버전을 확인하여 취약점이 해결된 최신 버전인지 대조함
pip show aeon | grep -E 'Version'