🇰🇷 한글 설명
Python 2.6부터 3.4 버전의 XML 라이브러리에서 XML 외부 엔티티(XXE) 공격 취약점이 발견되었습니다. 원격 공격자가 XML 외부 엔티티 선언을 통해 임의의 파일을 읽을 수 있으며, OpenStack Keystone, Django 등의 제품에 영향을 미칩니다.
💡 쉬운 설명
웹 서버가 XML을 처리할 때 공격자가 특수하게 조작된 XML 파일을 보내면 서버의 민감한 파일들을 읽어낼 수 있습니다. 이를 XXE 공격이라고 부르며, 설정 파일이나 비밀번호 같은 중요 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
The XML libraries for Python 3.4, 3.3, 3.2, 3.1, 2.7, and 2.6, as used in OpenStack Keystone Essex and Folsom, Django, and possibly other products allow remote attackers to read arbitrary files via an XML external entity declaration in conjunction with an entity reference, aka an XML External Entity (XXE) attack.
📍 영향받는 시스템
Python 2.6, 2.7, 3.1, 3.2, 3.3, 3.4 (OpenStack Keystone Essex/Folsom, Django, 기타 XML 라이브러리 사용 제품)
⚔️ 공격 벡터
XML external entity declaration을 포함한 악의적인 XML 페이로드를 애플리케이션에 제출하여 서버의 임의 파일 읽기 시도
🛡️ 대응 방법
Python과 libexpat 등 XML 관련 라이브러리를 최신 버전으로 업데이트하고 XXE 방지 설정 활성화
🔧 검증 코드
설치된 Python 버전과 libexpat 패키지 버전을 확인 - 2013년 이후 패치가 적용된 최신 버전 사용 여부 확인
dpkg -l | grep -E '(libexpat|python)' && python --version 2>/dev/null