🇰🇷 한글 설명
tqdm 4.4.1~4.10 버전의 _version 모듈이 현재 작업 디렉토리의 git log를 검증 없이 실행하여 악의적인 git 저장소에서 임의의 코드 실행을 허용합니다. 공격자가 악의적인 git 설정을 포함한 저장소를 배포하면, 사용자가 해당 디렉토리에서 tqdm을 사용할 때 자동으로 공격자 코드가 실행됩니다.
💡 쉬운 설명
tqdm이 버전을 확인할 때 현재 폴더의 git 정보를 안전하지 않게 처리해서, 악의적인 git 저장소가 있으면 해커 코드가 자동 실행됩니다. 사용자 모르게 공격자의 명령어가 실행되는 문제입니다.
🇺🇸 원문 (English)
The tqdm._version module in tqdm versions 4.4.1 and 4.10 allows local users to execute arbitrary code via a crafted repo with a malicious git log in the current working directory.
📍 영향받는 시스템
tqdm 4.4.1, 4.4.2~4.10 버전 (Python 패키지)
⚔️ 공격 벡터
악의적인 git log 설정이 포함된 저장소를 배포하고, 사용자가 이를 다운로드하여 해당 디렉토리에서 Python을 실행할 때 발생
🛡️ 대응 방법
tqdm을 4.11 이상으로 업그레이드하거나 신뢰할 수 없는 저장소는 격리된 환경에서만 실행
🔧 검증 코드
Version이 4.10 이하면 취약함. 4.11 이상이면 패치됨
pip show tqdm | grep Version