🇰🇷 한글 설명
Apache Fory PyFory의 ReduceSerializer가 감소 상태 복원 및 전역 이름 해석 중 DeserializationPolicy 검증을 우회하는 신뢰할 수 없는 데이터 역직렬화 취약점입니다. 공격자가 제어하는 데이터를 엄격 모드가 비활성화된 파이썬 네이티브 모드로 역직렬화하면 보안 정책이 작동하지 않아 임의 코드 실행이 가능합니다.
💡 쉬운 설명
Apache Fory 라이브러리가 인터넷에서 온 악의적인 데이터를 안전하게 처리하지 못하는 버그입니다. 공격자는 특수하게 만든 데이터를 보내 시스템에서 원하는 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Deserialization of untrusted data in Apache Fory PyFory. PyFory's ReduceSerializer could bypass documented DeserializationPolicy validation hooks during reduce-state restoration and global-name resolution. An application is vulnerable if it deserializes attacker-controlled data using PyFory Python-native mode with strict mode disabled and relies on DeserializationPolicy to restrict unsafe classes, functions, or module attributes.
This issue affects Apache Fory: from before 1.0.0.
Mitigation: Users of Apache Fory are recommended to upgrade to version 1.0.0 or later, which enforces DeserializationPolicy validation for the affected ReduceSerializer paths and thus fixes this issue.
📍 영향받는 시스템
Apache Fory 1.0.0 미만 모든 버전 (strict mode 비활성화된 환경)
⚔️ 공격 벡터
악의적인 직렬화된 Python 객체를 대상 애플리케이션에 전송하여 역직렬화 중 보안 정책 우회 후 임의 코드 실행
🛡️ 대응 방법
Apache Fory를 1.0.0 버전 이상으로 업그레이드
🔧 검증 코드
Version 필드가 1.0.0 이상이면 패치된 상태, 미만이거나 설치되지 않으면 취약함
pip show fory 2>/dev/null | grep Version || echo 'fory not installed'