🇰🇷 한글 설명
NetBox Device Type Library의 검증 테스트 하네스에서 pickle.load를 통해 조작된 피클 캐시 파일을 역직렬화할 수 있는 취약점이 발견되었습니다. 인증되지 않은 기여자가 악성 피클 파일을 제출하여 GitHub Actions 러너나 유지 관리자의 프로세스에서 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
검증되지 않은 파일을 프로그램이 읽어들이는 과정에서 해커가 심어놓은 악성 명령어가 실행될 수 있는 보안 결함입니다. 이를 통해 해커가 개발 환경이나 서버의 제어권을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
NetBox Device Type Library is a collection of community-sourced device type definitions for import into NetBox. The validation test harness can deserialize pull-request-controlled tracked pickle cache files through pickle.load in the read_pickle_data function in tests/pickle_operations.py. An unauthenticated contributor can change USE_LOCAL_KNOWN_SLUGS in tests/test_configuration.py and supply a crafted tests/known-modules.pickle or tests/known-racks.pickle file that tests/definitions_test.py loads when pytest runs. Deserialization invokes attacker-controlled object reduction behavior, allowing arbitrary code execution in the GitHub Actions runner or in a maintainer process that runs the tests, with the confidentiality, integrity, and availability of reachable resources at risk. This vulnerability is fixed with commit 1c6f7e2b93589b965318c6e67ac3504831f0e71e.
📍 영향받는 시스템
NetBox Device Type Library (commit 1c6f7e2b93589b965318c6e67ac3504831f0e71e 이전 버전)
⚔️ 공격 벡터
조작된 pickle 파일을 포함한 Pull Request를 제출하여 테스트 실행 시 코드 실행 유도
🛡️ 대응 방법
커밋 1c6f7e2b93589b965318c6e67ac3504831f0e71e가 적용된 최신 버전으로 업데이트
🔧 검증 코드
명령어 결과가 FIXED이면 패치가 적용된 상태이며, VULNERABLE이면 취약한 상태입니다.
git log -1 --format=%H | grep -q '1c6f7e2b93589b965318c6e67ac3504831f0e71e' && echo 'FIXED' || echo 'VULNERABLE'