🇰🇷 한글 설명
imgaug 라이브러리 0.4.0 이하 버전의 multicore.py 모듈에 있는 BackgroundAugmenter 클래스가 pickle을 이용한 안전하지 않은 역직렬화 취약점을 가지고 있습니다. 멀티프로세싱 큐를 통해 받은 데이터를 아무런 검증 없이 역직렬화하므로, 공격자가 악의적인 pickle 페이로드를 주입하면 워커 프로세스에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
imgaug 라이브러리가 외부 데이터를 안전하게 처리하지 않아서, 악의적인 파일을 통해 컴퓨터를 제어할 수 있는 문제입니다. 이 라이브러리를 사용하면 공격자가 원격에서 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
The imgaug library thru 0.4.0 contains an insecure deserialization vulnerability in its BackgroundAugmenter class within the multicore.py module. The class uses Python's pickle module to deserialize data received via a multiprocessing queue in the _augment_images_worker() method without any safety checks. An attacker who can influence the data placed into this queue (e.g., through social engineering, malicious input scripts, or a compromised shared queue) can provide a malicious pickle payload. When deserialized, this payload can execute arbitrary code in the context of the worker process, leading to remote or local code execution depending on the deployment scenario.
📍 영향받는 시스템
imgaug 라이브러리 버전 0.4.0 이하
⚔️ 공격 벡터
멀티프로세싱 큐를 통해 주입된 악의적인 pickle 페이로드를 역직렬화할 때 임의 코드 실행
🛡️ 대응 방법
imgaug를 0.4.1 이상 버전으로 업그레이드하거나, pickle 대신 안전한 직렬화 방식(JSON, protobuf 등) 사용 또는 입력 검증 구현
🔧 검증 코드
Version이 0.4.0 이하이면 취약, 0.4.1 이상이면 안전합니다.
pip show imgaug | grep Version