GluonTS 압축 해제 도구 경로 조작으로 임의 파일 쓰기 가능
파이썬 예측 라이브러리가 압축 파일을 풀 때 시스템 파일을 덮어쓸 수 있습니다.
요약
GluonTS의 아카이브 압축 해제 도구에 경로 조작 결함이 있어, 악의적으로 만든 tar 아카이브를 풀면 풀기 프로그램의 권한으로 추출 폴더 밖에 임의의 파일을 쓸 수 있습니다. 0.17.0 이전 버전이 해당합니다.
해당 조건
- 신뢰할 수 없는 출처의 tar 아카이브를 GluonTS로 해제하는 경우
대처법
GluonTS 0.17.0 이상으로 업데이트하세요. 당장 못 하면 출처를 믿을 수 없는 tar 아카이브를 GluonTS로 해제하지 마세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림) · aws.amazon.com (새 탭에서 열림)
- 분석 글: github.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인