🇰🇷 한글 설명
python-gnupg 0.3.5의 shell_quote 함수에서 문자가 제대로 이스케이프되지 않아 백슬래시 등의 셸 메타문자를 통해 임의 코드 실행이 가능한 취약점입니다. CVE-2013-7323의 불완전한 수정으로 인해 발생했으며, 공격자는 멀티 커맨드 시퀀스를 생성하여 시스템을 제어할 수 있습니다.
💡 쉬운 설명
암호화 도구 python-gnupg에서 특수 문자 처리가 부족해 해커가 원하는 명령어를 실행할 수 있습니다. 백슬래시 같은 기호를 입력에 섞으면 여러 명령어를 동시에 실행시켜 시스템을 장악할 수 있습니다.
🇺🇸 원문 (English)
The shell_quote function in python-gnupg 0.3.5 does not properly escape characters, which allows context-dependent attackers to execute arbitrary code via shell metacharacters in unspecified vectors, as demonstrated using "\" (backslash) characters to form multi-command sequences, a different vulnerability than CVE-2014-1927. NOTE: this vulnerability exists because of an incomplete fix for CVE-2013-7323.
📍 영향받는 시스템
python-gnupg 0.3.5 이하 모든 버전
⚔️ 공격 벡터
shell_quote 함수 처리 대상 사용자 입력에 백슬래시 등 셸 메타문자를 삽입하여 의도하지 않은 시스템 명령 실행
🛡️ 대응 방법
python-gnupg를 0.3.6 이상 최신 버전으로 업그레이드
🔧 검증 코드
Version이 0.3.5 이하이면 취약함, 0.3.6 이상이면 패치됨
pip show python-gnupg 2>/dev/null | grep -E 'Version|Name' || python -c 'import gnupg; print(gnupg.__version__)' 2>/dev/null