🇰🇷 한글 설명
Pydantic AI 프레임워크의 특정 버전에서 클라이언트가 제출한 메시지 기록 내의 UploadedFile 참조가 적절한 검증 없이 전달되는 취약점이 발견되었습니다. 공격자는 이를 악용하여 서버의 IAM 역할이나 서비스 계정 권한을 이용해 클라우드 스토리지(S3, GS 등)에 저장된 임의의 파일을 읽을 수 있습니다. 이 문제는 버전 1.106.0 및 2.0.0b6에서 수정되었습니다.
💡 쉬운 설명
AI 서비스에 대화 기록을 보낼 때, 공격자가 가짜 파일 주소를 섞어 보내면 서버가 자신의 비밀 저장소에 있는 파일을 대신 읽어오게 만드는 공격입니다. 이를 통해 기업의 중요한 클라우드 데이터가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Pydantic AI is a Python agent framework for building Generative AI applications. In versions 1.65.0 through 1.105.0, and 2.0.0b1 through 2.0.0b5, a client that submits message history to a Pydantic AI UI adapter (such as the Vercel AI adapter) can reference arbitrary files in the application's model-provider or cloud-storage account. While file URL parts are validated against a scheme allowlist, UploadedFile references — which point to a file by provider file ID or cloud-storage URI (e.g. s3://…, gs://…) — were forwarded without validation. Because the provider resolves an UploadedFile using the server-side identity (IAM role, service account, or provider API key) rather than the client's, an attacker can craft message history to make the server read objects from its own account or other tenants, given a referenceable identifier. Exploitation requires a valid file identifier, which is not always unguessable depending on how the application names objects. This issue has been fixed in versions 1.106.0 and 2.0.0b6.
📍 영향받는 시스템
Pydantic AI versions 1.65.0 to 1.105.0 and 2.0.0b1 to 2.0.0b5
⚔️ 공격 벡터
조작된 메시지 기록 내에 검증되지 않은 UploadedFile 식별자(s3://, gs:// 등)를 포함하여 서버의 권한으로 파일 접근 시도
🛡️ 대응 방법
Pydantic AI를 버전 1.106.0 또는 2.0.0b6 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.106.0 미만이거나 2.0.0b6 미만인 경우 취약한 상태입니다.
pip show pydantic-ai | grep Version