🇰🇷 한글 설명
Python의 elementtree C 가속기가 초기화 과정에서 Expat의 해시 솔트(hash salt)를 제대로 초기화하지 못하는 결함이 있습니다. 이로 인해 공격자가 해시 충돌을 유도하는 악의적인 XML 문서를 생성하여 시스템의 CPU와 RAM 자원을 과도하게 소모하게 만들 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 XML 파일을 보내 컴퓨터의 계산 능력을 마비시키는 공격입니다. 이로 인해 서버가 매우 느려지거나 멈추는 서비스 거부(DoS) 상태가 될 수 있습니다.
🇺🇸 원문 (English)
Python's elementtree C accelerator failed to initialise Expat's hash salt during initialization. This could make it easy to conduct denial of service attacks against Expat by constructing an XML document that would cause pathological hash collisions in Expat's internal data structures, consuming large amounts CPU and RAM. The vulnerability exists in Python versions 3.7.0, 3.6.0 through 3.6.6, 3.5.0 through 3.5.6, 3.4.0 through 3.4.9, 2.7.0 through 2.7.15.
📍 영향받는 시스템
Python 2.7.0-2.7.15, 3.4.0-3.4.9, 3.5.0-3.5.6, 3.6.0-3.6.6, 3.7.0
⚔️ 공격 벡터
해시 충돌을 유도하도록 설계된 악의적인 XML 문서를 시스템에 전송
🛡️ 대응 방법
Python을 보안 패치가 적용된 최신 버전(3.7.1 이상, 3.6.7 이상 등)으로 업데이트
🔧 검증 코드
출력된 Python 버전을 확인하여 취약한 버전 범위에 포함되는지 대조
python3 --version 2>/dev/null || python --version 2>/dev/null