🇰🇷 한글 설명
eyeD3 라이브러리의 tag.py 모듈이 임시 파일 생성 시 symlink 공격에 취약합니다. 로컬 사용자가 임시 파일 경로를 symlink로 교체하여 시스템의 임의 파일을 수정할 수 있는 특권 상승 공격이 가능합니다.
💡 쉬운 설명
MP3 메타데이터를 편집하는 eyeD3 프로그램이 임시 파일을 안전하지 않게 사용합니다. 공격자가 이 임시 파일을 다른 파일로 가장하여 시스템의 중요한 파일을 손상시킬 수 있습니다.
🇺🇸 원문 (English)
tag.py in eyeD3 (aka python-eyed3) 7.0.3, 0.6.18, and earlier for Python allows local users to modify arbitrary files via a symlink attack on a temporary file.
📍 영향받는 시스템
eyeD3 (python-eyed3) 0.6.18 이하, 7.0.3 이하 모든 버전
⚔️ 공격 벡터
로컬 공격자가 /tmp 등의 임시 디렉토리에서 symlink 공격으로 임의 파일 쓰기 수행
🛡️ 대응 방법
eyeD3를 0.7.0 이상의 최신 버전으로 업그레이드하여 안전한 임시 파일 처리 방식 적용
🔧 검증 코드
Version이 0.6.18 이하 또는 7.0.3 이하면 취약, 0.7.0 이상이면 패치됨
pip show eyed3 2>/dev/null | grep Version