🇰🇷 한글 설명
tqdm 파이썬 라이브러리의 CLI 인자가 eval() 함수를 통해 처리되어 임의의 코드 실행을 허용하는 취약점입니다. 4.66.3 이상으로 업그레이드 필수이며, 로컬에서만 악용 가능합니다.
💡 쉬운 설명
tqdm 프로그램의 특정 옵션(--delim, --buf-size 등)이 위험하게 실행되어 공격자가 악의적인 명령을 실행할 수 있습니다. 하지만 로컬에서만 공격 가능하므로 본인의 컴퓨터에 접근할 수 있는 사람만 악용할 수 있습니다.
🇺🇸 원문 (English)
tqdm is an open source progress bar for Python and CLI. Any optional non-boolean CLI arguments (e.g. `--delim`, `--buf-size`, `--manpath`) are passed through python's `eval`, allowing arbitrary code execution. This issue is only locally exploitable and had been addressed in release version 4.66.3. All users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
tqdm < 4.66.3 (모든 플랫폼)
⚔️ 공격 벡터
로컬 사용자가 --delim, --buf-size, --manpath 등 비boolean CLI 인자에 악성 코드를 삽입하여 실행
🛡️ 대응 방법
tqdm를 4.66.3 이상으로 업그레이드 (pip install --upgrade tqdm)
🔧 검증 코드
4.66.3 이상 버전이면 SAFE, 그 이하면 VULNERABLE로 표시됩니다.
python -c "import tqdm; print(f'tqdm version: {tqdm.__version__}')" | grep -E '(4\.[6-9][6-9]|[5-9]\.|[0-9]{2,}\.)' && echo 'SAFE' || echo 'VULNERABLE'