🇰🇷 한글 설명
LMDeploy의 vision-language 모듈에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. load_image() 함수가 내부 또는 개인 IP 주소를 검증하지 않고 임의의 URL을 가져오기 때문에, 공격자가 클라우드 메타데이터 서비스나 내부 네트워크의 민감한 자원에 접근할 수 있습니다.
💡 쉬운 설명
LMDeploy라는 도구가 이미지를 불러올 때 주소를 제대로 확인하지 않아 발생하는 문제입니다. 이를 통해 해커가 회사의 내부 네트워크나 중요한 정보가 담긴 서버에 몰래 접속할 수 있습니다.
🇺🇸 원문 (English)
LMDeploy is a toolkit for compressing, deploying, and serving large language models. Versions prior to 0.12.3 have a Server-Side Request Forgery (SSRF) vulnerability in LMDeploy's vision-language module. The `load_image()` function in `lmdeploy/vl/utils.py` fetches arbitrary URLs without validating internal/private IP addresses, allowing attackers to access cloud metadata services, internal networks, and sensitive resources. Version 0.12.3 patches the issue.
📍 영향받는 시스템
LMDeploy 0.12.3 미만 버전
⚔️ 공격 벡터
load_image() 함수에 조작된 URL을 전달하여 내부 네트워크 또는 클라우드 메타데이터 서비스로 요청을 유도
🛡️ 대응 방법
LMDeploy를 0.12.3 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.12.3보다 낮은지 확인
pip show lmdeploy | grep Version