🇰🇷 한글 설명
PySpector SAST 프레임워크의 플러그인 보안 검증 기능이 0.1.8 버전 이전에 불완전한 blocklist를 사용하여 여러 Python 구성으로 우회 가능합니다. 공격자가 악의적인 플러그인 파일을 제공하면 플러그인 설치 및 실행 시 PySpector 프로세스 내에서 임의의 코드 실행을 달성할 수 있습니다.
💡 쉬운 설명
PySpector이 위험한 코드를 제대로 차단하지 못해서 공격자가 숨겨진 형태의 악성 코드를 플러그인으로 몰래 삽입할 수 있습니다. 이 플러그인이 실행되면 공격자가 시스템을 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
PySpector is a static analysis security testing (SAST) Framework engineered for modern Python development workflows. The plugin security validator in PySpector uses AST-based static analysis to prevent dangerous code from being loaded as plugins. Prior to version 0.1.8, the blocklist implemented in `PluginSecurity.validate_plugin_code` is incomplete and can be bypassed using several Python constructs that are not checked. An attacker who can supply a plugin file can achieve arbitrary code execution within the PySpector process when that plugin is installed and executed. Version 0.1.8 fixes the issue.
📍 영향받는 시스템
PySpector < 0.1.8
⚔️ 공격 벡터
공격자가 제작한 악성 플러그인 파일을 PySpector에 설치하면 임의의 코드 실행 가능
🛡️ 대응 방법
PySpector을 버전 0.1.8 이상으로 업그레이드
🔧 검증 코드
Version이 0.1.8 이상이면 안전합니다. 미만이면 pip install --upgrade pyspector로 즉시 업그레이드 필요합니다.
pip show pyspector | grep -i version