🇰🇷 한글 설명
python-gnupg 0.3.5와 0.3.6에서 위치 인자를 통한 옵션 주입 취약점입니다. 공격자가 GPG 함수 호출 시 악의적 인자를 전달하여 GPG 명령어에 숨겨진 옵션을 주입할 수 있습니다. CVE-2013-7323의 불완전한 패치로 인해 발생했습니다.
💡 쉬운 설명
python-gnupg 라이브러리가 사용자 입력을 제대로 검증하지 않아, 공격자가 몰래 GPG 옵션을 추가할 수 있습니다. 이를 통해 암호화/복호화 결과를 변조할 수 있습니다.
🇺🇸 원문 (English)
python-gnupg 0.3.5 and 0.3.6 allows context-dependent attackers to have an unspecified impact via vectors related to "option injection through positional arguments." NOTE: this vulnerability exists because of an incomplete fix for CVE-2013-7323.
📍 영향받는 시스템
python-gnupg 0.3.5, 0.3.6
⚔️ 공격 벡터
GPG 함수의 위치 인자에 악의적 문자열 주입으로 옵션 오버라이드
🛡️ 대응 방법
python-gnupg를 0.3.7 이상으로 즉시 업그레이드
🔧 검증 코드
VULNERABLE이 출력되면 취약한 버전이 설치된 상태이며, pip install --upgrade python-gnupg으로 패치하세요.
python3 -c "import gnupg; v=gnupg.__version__; print('VULNERABLE' if v in ['0.3.5','0.3.6'] else 'SAFE: '+v)" 2>/dev/null || pip show python-gnupg 2>/dev/null | grep Version