🇰🇷 한글 설명
Python 기반 데이터 애플리케이션 개발 프레임워크인 Streamlit에서 디렉토리 트래버설 취약점이 발견되었습니다. 공격자가 악의적인 URL을 통해 서버의 로그 파일이나 읽기 권한이 있는 민감한 파일을 탈취할 수 있습니다. 이 문제는 Streamlit 1.11.1 버전에서 해결되었습니다.
💡 쉬운 설명
해커가 특수한 주소를 입력하여 웹 서버 안에 숨겨진 중요한 파일들을 몰래 읽어갈 수 있는 보안 약점입니다. 서버의 비밀번호나 로그 같은 민감한 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Streamlit is a data oriented application development framework for python. Users hosting Streamlit app(s) that use custom components are vulnerable to a directory traversal attack that could leak data from their web server file-system such as: server logs, world readable files, and potentially other sensitive information. An attacker can craft a malicious URL with file paths and the streamlit server would process that URL and return the contents of that file. This issue has been resolved in version 1.11.1. Users are advised to upgrade. There are no known workarounds for this issue.
📍 영향받는 시스템
Streamlit 1.11.1 미만 버전
⚔️ 공격 벡터
파일 경로가 포함된 악의적인 URL 요청을 통한 디렉토리 트래버설 공격
🛡️ 대응 방법
Streamlit을 1.11.1 이상의 최신 버전으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 1.11.1보다 낮은지 확인합니다.
pip show streamlit | grep Version