🇰🇷 한글 설명
CVAT은 컴퓨터 비전을 위한 오픈 소스 대화형 비디오 및 이미지 주석 도구입니다. 1.6.0부터 2.64.0 버전까지, 클라우드 스토리지에 쓰기 권한이 있거나 새로운 클라우드 스토리지를 추가할 수 있는 공격자가 서버 파일 시스템의 임의 파일을 덮어쓸 수 있습니다.
💡 쉬운 설명
CVAT 도구에 연결된 클라우드 저장소에 접근할 수 있는 사람이 서버의 중요한 파일을 마음대로 수정하거나 지울 수 있는 보안 결함입니다. 이로 인해 서버 전체의 설정이 바뀌거나 시스템이 망가질 위험이 있습니다.
🇺🇸 원문 (English)
CVAT is an open source interactive video and image annotation tool for computer vision. In versions 1.6.0 through 2.64.0, an attacker with write access to a cloud storage that's been added to a CVAT instance, or ability to add new cloud storages, is able to overwrite arbitrary files on the server's filesystem. This issue has been fixed in version 2.65.0.
📍 영향받는 시스템
CVAT versions 1.6.0 through 2.64.0
⚔️ 공격 벡터
클라우드 스토리지에 대한 쓰기 권한을 이용한 서버 파일 시스템 임의 파일 덮어쓰기
🛡️ 대응 방법
CVAT 버전을 2.65.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.65.0 미만(1.6.0 ~ 2.64.0 사이)이면 취약한 상태입니다.
python3 -c 'import cvat; print(cvat.__version__)' 2>/dev/null || echo 'Check installation directory version'