ESPectre 분석 도구의 안전하지 않은 역직렬화로 코드 실행 가능
ESPectre 움직임 감지 프로젝트의 분석 도구에서 PC를 해킹당할 수 있습니다.
요약
ESPectre의 분석 도구가 NPZ 데이터셋을 안전하지 않게 읽어 악성 코드가 실행될 수 있습니다. 악성 데이터를 넣은 기여자나 풀 리퀘스트 작성자의 데이터를 도구로 열면 관리자나 개발자 권한으로 코드가 실행됩니다.
해당 조건
- NumPy pickle 지원이 켜진 상태로 NPZ 데이터셋을 여는 분석 도구 사용
- 신뢰할 수 없는 데이터셋(micro-espectre/data 아래 .npz 파일)을 분석 도구로 여는 경우
대처법
3.0.0-rc1 이상으로 업데이트하세요. 그 전까지는 출처를 확인하지 않은 데이터셋을 분석 도구로 열지 마세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인