🇰🇷 한글 설명
Python 2.7의 shutil 모듈 내 make_archive 함수에서 명령 주입(Command Injection) 취약점이 발견되었습니다. 필터링되지 않은 사용자 입력이 전달될 경우 서비스 거부(DoS)나 시스템 내 임의 파일 삽입을 통한 정보 유출이 발생할 수 있습니다.
💡 쉬운 설명
프로그램이 파일을 압축할 때 사용자가 입력한 명령어를 검사하지 않아 발생하는 문제입니다. 해커가 악의적인 명령을 섞어 보내면 컴퓨터를 멈추게 하거나 중요한 파일을 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Python Software Foundation Python (CPython) version 2.7 contains a CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') vulnerability in shutil module (make_archive function) that can result in Denial of service, Information gain via injection of arbitrary files on the system or entire drive. This attack appear to be exploitable via Passage of unfiltered user input to the function. This vulnerability appears to have been fixed in after commit add531a1e55b0a739b0f42582f1c9747e5649ace.
📍 영향받는 시스템
Python (CPython) version 2.7
⚔️ 공격 벡터
shutil.make_archive 함수에 필터링되지 않은 사용자 입력값을 전달하여 공격
🛡️ 대응 방법
Python 버전을 업데이트하거나 해당 커밋(add531a1e55b0a739b0f42582f1c9747e5649ace)이 반영된 패치 적용
🔧 검증 코드
출력 결과에 Python 2.7 버전이 표시되면 해당 취약점에 노출될 가능성이 있는 시스템입니다.
python2 --version 2>/dev/null | grep -E '2.7\.'