🇰🇷 한글 설명
CVAT 2.17.0부터 2.72.0 버전 사이에서 발생하는 취약점으로, 쓰기 권한이 있는 사용자가 일관되지 않은 작업 및 작업 ID를 사용하여 자동 주석 요청을 보낼 수 있습니다. 이로 인해 특정 작업 ID가 점유하는 활성 요청 슬롯을 차단하여 다른 작업의 자동 주석 기능을 방해할 수 있습니다.
💡 쉬운 설명
CVAT 도구에서 특정 사용자가 의도적으로 잘못된 정보를 입력하여 다른 사람의 자동 작업이 진행되지 못하도록 방해할 수 있는 문제입니다. 일종의 서비스 방해 공격(DoS) 성격을 띠고 있습니다.
🇺🇸 원문 (English)
CVAT is an open source interactive video and image annotation tool for computer vision. From 2.17.0 until 2.72.0, a user with write access to a CVAT job can submit a batch automatic annotation request to RequestViewSet.create with inconsistent task and job IDs, and because the task ID determines the single active request slot, block automatic annotation for another task whose ID is known. This issue is fixed in version 2.72.0.
📍 영향받는 시스템
CVAT versions 2.17.0 to 2.72.0
⚔️ 공격 벡터
쓰기 권한을 가진 사용자가 RequestViewSet.create에 조작된 task 및 job ID를 포함한 배치 요청을 전송
🛡️ 대응 방법
CVAT를 버전 2.72.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 범위(2.17.0 ~ 2.72.0)에 해당하면 취약한 상태입니다.
curl -s http://<cvat-host>/api/version | grep -E '2\.(1[7-9]|[2-6][0-9]|7[0-1])\.0'