CVE-2026-100308 - 모델 역직렬화 중 GluonTS 임의 명령 실행
공지 ID: 2026-119-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 09/29/2026 08:00 AM PDT
설명:
GluonTS는 딥 러닝 기반 시계열 모델을 위한 오픈 소스 라이브러리입니다. 신뢰할 수 없는 모델 아티팩트의 역직렬화 시 임의 명령 실행을 허용하는 CVE-2026-100308을 식별했습니다.
Amazon GluonTS 0.17.0 이전 버전의 모델 로딩 구성 요소에서 신뢰할 수 없는 데이터를 역직렬화하는 문제로 인해, 특정 조건에서 공격자가 조작된 직렬화 모델 디렉터리를 통해 로딩 프로세스의 권한으로 임의의 운영 체제 명령을 실행할 수 있습니다. 이 문제는 사용자가 완전히 제어하지 않는 모델 디렉터리에서 Predictor.deserialize() 또는 RepresentablePredictor.deserialize()를 호출할 때마다 발생합니다.
영향을 받는 버전: <0.17.0
해결 방법:
이 문제는 GluonTS 버전 0.17.0에서 해결되었습니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에 패치를 적용하는 것이 좋습니다.
우회 방법:
사용자는 라이브러리를 사용하여 신뢰할 수 있는 모델 아티팩트만 역직렬화하는 것이 좋습니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제 해결에 도움을 준 Michael Holmquist(Hasp Labs) 님께 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 으로 이메일을 보내 주세요.