🇰🇷 한글 설명
Dask distributed는 Dask를 위한 분산 태스크 스케줄러입니다. 2026.1.0 이전 버전에서 Jupyter Lab, jupyter-server-proxy, Dask distributed가 함께 실행될 때, XSS 버그로 인해 코드가 실행될 수 있는 URL을 생성할 수 있습니다. 공격자는 Jupyter Lab와 Dask가 로컬호스트에서 실행 중이고 기본 포트를 사용한다고 가정하는 피싱 URL을 생성할 수 있습니다. 사용자가 악의적인 링크를 클릭하면 Dask 대시보드_via Jupyter Lab 프록시에서 오류 페이지가 열리고 기본 Jupyter Python 커널에 의해 코드가 실행됩니다. 이 취약점은 2026.1.0에서 수정되었습니다.
💡 쉬운 설명
Dask distributed, Jupyter Lab, jupyter-server-proxy를 함께 사용할 때 XSS 취약점이 발생하여 코드가 실행될 수 있습니다. 악의적인 링크를 클릭하면 기본 Jupyter Python 커널에 의해 코드가 실행됩니다. 2026.1.0 버전으로 업데이트하면 취약점이 수정됩니다.
🇺🇸 원문 (English)
Dask distributed is a distributed task scheduler for Dask. Prior to 2026.1.0, when Jupyter Lab, jupyter-server-proxy, and Dask distributed are all run together, it is possible to craft a URL which will result in code being executed by Jupyter due to a cross-side-scripting (XSS) bug in the Dask dashboard. It is possible for attackers to craft a phishing URL that assumes Jupyter Lab and Dask may be running on localhost and using default ports. If a user clicks on the malicious link it will open an error page in the Dask Dashboard via the Jupyter Lab proxy which will cause code to be executed by the default Jupyter Python kernel. This vulnerability is fixed in 2026.1.0.
📍 영향받는 시스템
Dask distributed 버전 2026.1.0 이전, Jupyter Lab, jupyter-server-proxy
⚔️ 공격 벡터
피싱 URL을 통해 XSS 공격
🛡️ 대응 방법
Dask distributed를 2026.1.0 버전으로 업데이트합니다.
🔧 검증 코드
로컬 Python 환경에서 pip를 사용하여 Dask distributed 버전을 확인합니다. Python이 설치되어 있고 pip가 사용 가능한 환경에서 실행해야 합니다.
import subprocess
result = subprocess.run(['pip', 'show', 'dask-distributed'], capture_output=True, text=True)
if 'Version: 2026.1.0' in result.stdout:
print({"result": "양호", "reason": "Dask distributed 버전이 2026.1.0 이상"})
else:
print({"result": "취약", "reason": "Dask distributed 버전이 2026.1.0 미만"})