🇰🇷 한글 설명
LabOne Q의 직렬화 프레임워크에서 import_cls 메커니즘이 검증 없이 임의의 파이썬 클래스를 동적으로 로드합니다. 공격자가 조작된 실험 파일을 통해 악의적인 클래스를 인스턴스화하여 사용자 프로세스에서 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
LabOne Q에서 파일을 열 때 악성 실험 파일이 숨겨진 프로그램을 몰래 실행합니다. 협업을 위해 받은 파일이 컴퓨터를 해킹할 수 있다는 뜻입니다.
🇺🇸 원문 (English)
The LabOne Q serialization framework uses a class-loading mechanism (import_cls) to dynamically import and instantiate Python classes during deserialization. Prior to the fix, this mechanism accepted arbitrary fully-qualified class names from the serialized data without any validation of the target class or restriction on which modules could be imported. An attacker can craft a serialized experiment file that causes the deserialization engine to import and instantiate arbitrary Python classes with attacker-controlled constructor arguments, resulting in arbitrary code execution in the context of the user running the Python process. Exploitation requires the victim to load a malicious file using LabOne Q's deserialization functions, for example a compromised experiment file shared for collaboration or support purposes.
📍 영향받는 시스템
LabOne Q (Zurich Instruments) - 영향받는 버전은 공식 보안 공지 참조
⚔️ 공격 벡터
공격자가 조작된 .laboneq 또는 직렬화된 실험 파일을 피해자와 공유하여 파일 열람 시 코드 실행 유발
🛡️ 대응 방법
LabOne Q를 최신 패치 버전으로 업데이트하고 신뢰할 수 없는 출처의 실험 파일 로드 금지
🔧 검증 코드
설치된 LabOne Q의 버전이 표시되면 현재 설치된 패치 레벨을 공식 보안 권고와 비교하여 업데이트 필요 여부 확인
pip show laboneq 2>/dev/null | grep -E 'Name|Version'