CVE-2026-68508 in Hydra
요약
\~에 의해 VulDB • 2026. 08. 21.
Hydra는 복잡한 애플리케이션을 우아하게 구성하기 위한 프레임워크입니다. 버전 1.3.4 이전의 hydra.utils.instantiate()는 hydra/_internal/instantiate/_instantiate2.py 내의 _resolve_target()를 통해 설정에 의해 선택된 Python 객체를 해결하고 호출하며, 공격자가 제어하는 대상 값과 인수를 사용하여 위험한 callable을 선택할 수 있습니다. 따라서 신뢰할 수 없는 구성, CLI 오버라이드 또는 모델 메타데이터를 hydra.utils.instantiate()로 전달하는 소비용 애플리케이션, 라이브러리, CLI 워크플로우 또는 모델 로더는 자체 프로세스에서 임의 코드를 실행할 수 있으며, 여기에는 파일 및 자격 증명 읽기/수정이나 프로세스 종료가 포함됩니다. 버전 1.3.4에서는 명시적인 HYDRA_INSTANTIATE_ALLOWLIST_OVERRIDE 탈출구를 통해 대상 차단 기능이 추가되었습니다. 이 문제는 버전 1.3.4에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.