🇰🇷 한글 설명
Python 2.x부터 2.7.16 버전의 urllib 모듈이 local_file: 스킴을 지원하여 발생하는 취약점입니다. 공격자는 이를 이용해 file: URI 차단 메커니즘을 우회하고 시스템 내부 파일에 접근할 수 있습니다.
💡 쉬운 설명
파이썬의 특정 기능이 보안 검사를 피해 컴퓨터 내부의 중요한 파일을 몰래 읽을 수 있게 허용하는 문제입니다. 해커가 이 기능을 악용하면 사용자 몰래 비밀번호 파일 같은 민감한 정보를 가져갈 수 있습니다.
🇺🇸 원문 (English)
urllib in Python 2.x through 2.7.16 supports the local_file: scheme, which makes it easier for remote attackers to bypass protection mechanisms that blacklist file: URIs, as demonstrated by triggering a urllib.urlopen('local_file:///etc/passwd') call.
📍 영향받는 시스템
Python 2.x (2.7.16 이하 버전)
⚔️ 공격 벡터
local_file: 스킴을 이용한 urllib.urlopen 호출을 통한 로컬 파일 접근
🛡️ 대응 방법
Python 2.x 사용을 중단하고 Python 3.x로 업그레이드하거나, 해당 스킴 사용을 제한하는 보안 패치를 적용해야 합니다.
🔧 검증 코드
출력된 버전의 세 번째 숫자가 16 이하이면 취약한 버전이며, 그보다 크면 안전합니다.
python2 --version 2>/dev/null | grep -E 'Python 2\[0-9\.[0-9]+(\.[0-9]+)?\]' | awk '{print $2}' | awk -F. '{if ($3 <= 16) print "Vulnerable"; else print "Safe"}'