🇰🇷 한글 설명
datapizza-ai 0.0.2의 RedisCache 함수에서 부정적인 역직렬화(deserialization) 취약점이 발견되었습니다. 로컬 네트워크 상의 공격자가 조작된 데이터를 통해 임의의 코드 실행을 할 수 있습니다. 벤더는 조기 공시 후 대응하지 않았습니다.
💡 쉬운 설명
Redis 캐시 시스템에서 신뢰할 수 없는 데이터를 처리할 때 위험한 역직렬화가 발생합니다. 같은 네트워크에 있는 공격자가 악의적인 데이터를 보내 시스템을 제어할 수 있습니다.
🇺🇸 원문 (English)
A vulnerability has been found in datapizza-labs datapizza-ai 0.0.2. Affected by this vulnerability is the function RedisCache of the file datapizza-ai-cache/redis/datapizza/cache/redis/cache.py. Such manipulation leads to deserialization. The attack requires being on the local network. A high complexity level is associated with this attack. The exploitation appears to be difficult. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
📍 영향받는 시스템
datapizza-labs datapizza-ai version 0.0.2
⚔️ 공격 벡터
로컬 네트워크 상의 공격자가 RedisCache에 조작된 직렬화 객체를 전송하여 역직렬화 공격 수행
🛡️ 대응 방법
datapizza-ai를 0.0.3 이상 버전으로 업그레이드 또는 신뢰할 수 없는 네트워크로부터 Redis 접근 제한
🔧 검증 코드
datapizza-ai의 설치 버전을 확인하고 0.0.2인 경우 즉시 업그레이드 필요
pip list 2>/dev/null | grep -i datapizza