🇰🇷 한글 설명
untangle 라이브러리 1.2.0 및 이전 버전에서 XML 외부 엔티티(XXE) 참조를 적절히 제한하지 않는 취약점이 발견되었습니다. 공격자는 이를 악용하여 인증 없이 원격에서 로컬 파일의 내용을 읽을 수 있습니다.
💡 쉬운 설명
XML 데이터를 처리하는 과정에서 외부 파일을 불러오는 기능을 제대로 막지 못하는 보안 약점이 있습니다. 이를 통해 해커가 서버에 저장된 중요한 파일을 몰래 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
untangle is a python library to convert XML data to python objects. untangle versions 1.2.0 and earlier improperly restricts XML external entity references. By exploiting this vulnerability, a remote unauthenticated attacker may read the contents of local files.
📍 영향받는 시스템
untangle library version 1.2.0 and earlier
⚔️ 공격 벡터
조작된 XML 데이터를 전송하여 서버의 로컬 파일을 읽어내는 XXE 공격
🛡️ 대응 방법
untangle 라이브러리를 최신 버전으로 업데이트하거나 XML 파싱 시 외부 엔티티 참조를 비활성화합니다.
🔧 검증 코드
출력된 버전이 1.2.0 이하인지 확인하여 취약 여부를 판단합니다.
pip show untangle | grep Version