🇰🇷 한글 설명
python-paste-script(paster)의 신뢰할 수 없는 검색 경로 취약점으로, initscript를 통해 시작될 때 현재 디렉토리나 상위 디렉토리의 악의적인 .egg-info 파일을 통해 로컬 사용자가 권한을 상승시킬 수 있습니다. Luci 0.26.0에 영향을 미칩니다.
💡 쉬운 설명
프로그램이 실행될 때 현재 폴더나 그 상위 폴더에서 설정 파일을 찾는데, 공격자가 악의적인 파일을 먼저 배치하면 높은 권한으로 실행될 수 있습니다. 같은 컴퓨터에 접근 가능한 누구나 이를 악용할 수 있습니다.
🇺🇸 원문 (English)
Untrusted search path vulnerability in python-paste-script (aka paster) in Luci 0.26.0, when started using the initscript, allows local users to gain privileges via a Trojan horse .egg-info file in the (1) current working directory or (2) its parent directories.
📍 영향받는 시스템
Luci 0.26.0 이하, python-paste-script(paster) 포함 모든 버전
⚔️ 공격 벡터
현재 작업 디렉토리 또는 상위 디렉토리에 Trojan horse .egg-info 파일을 배치하고 initscript로 paster 시작
🛡️ 대응 방법
Luci 및 python-paste-script를 최신 버전으로 업그레이드하고, 신뢰할 수 없는 디렉토리에서 프로그램 실행 금지
🔧 검증 코드
Paste 패키지 버전 확인. 낮은 버전이면 pip install --upgrade Paste로 업그레이드
pip show Paste 2>/dev/null | grep Version || python -c "import pkg_resources; print('Paste: ' + pkg_resources.working_set.by_key.get('paste', '').version)" 2>/dev/null || echo 'Not installed'