🇰🇷 한글 설명
Aeon의 load_time_series_segmentation_benchmark 메서드에서 발생하는 코드 주입 원격 코드 실행 취약점입니다. 사용자 입력 문자열에 대한 적절한 검증이 이루어지지 않아, 공격자가 임의의 파이썬 코드를 실행할 수 있습니다. 공격을 위해서는 사용자가 악성 페이지를 방문하거나 악성 파일을 열어야 합니다.
💡 쉬운 설명
프로그램이 사용자가 입력한 글자를 검사하지 않고 그대로 명령어로 실행해버리는 보안 결함입니다. 해커가 만든 나쁜 파일이나 웹사이트를 열기만 해도 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
Aeon load_time_series_segmentation_benchmark Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of aeon. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file.
The specific flaw exists within the load_time_series_segmentation_benchmark method. The issue results from the lack of proper validation of a user-supplied string before using it to execute Python code. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-29159.
📍 영향받는 시스템
Aeon (load_time_series_segmentation_benchmark 메서드 사용 버전)
⚔️ 공격 벡터
사용자가 악성 웹 페이지를 방문하거나 악성 파일을 실행하도록 유도하여 공격 수행
🛡️ 대응 방법
해당 메서드 내 사용자 입력값에 대한 검증 로직을 추가하고, 입력값이 파이썬 코드로 실행되지 않도록 패치 적용
🔧 검증 코드
출력된 Aeon의 버전을 확인하여 취약점이 해결된 최신 버전인지 대조합니다.
pip show aeon 2>/dev/null | grep -E 'Version'