🇰🇷 한글 설명
pyrage는 Rust 기반 age 파일 암호화 라이브러리의 Python 바인딩이며, age의 플러그인 시스템에서 발견된 GHSA-4fg7-vxc8-qx5w 취약점이 영향을 미칩니다. 플러그인 지원을 포함하는 1.2.0 이상 1.2.2 이하 버전이 취약하며, 1.2.3에서 수정되었습니다.
💡 쉬운 설명
pyrage는 파일을 잠그는 도구인데, 플러그인 기능에 보안 결함이 있어 공격자가 악용할 수 있습니다. 즉시 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
pyrage is a set of Python bindings for the rage file encryption library (age in Rust). `pyrage` uses the Rust `age` crate for its underlying operations, and `age` is vulnerable to GHSA-4fg7-vxc8-qx5w. All details of GHSA-4fg7-vxc8-qx5w are relevant to `pyrage` for the versions specified in this advisory. See GHSA-4fg7-vxc8-qx5w for full details. Versions of `pyrage` before 1.2.0 lack plugin support and are therefore **not affected**. An equivalent issue was fixed in [the reference Go implementation of age](https://github.com/FiloSottile/age), see advisory GHSA-32gq-x56h-299c. This issue has been addressed in version 1.2.3 and all users are advised to update. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
pyrage 1.2.0 ~ 1.2.2 (플러그인 지원 포함 버전)
⚔️ 공격 벡터
age 플러그인 시스템을 통한 악의적 플러그인 로드 또는 플러그인 처리 과정 공격
🛡️ 대응 방법
pip install --upgrade pyrage>=1.2.3 또는 패키지 매니저를 통해 1.2.3 이상으로 업데이트
🔧 검증 코드
설치된 pyrage 버전이 1.2.3 이상이면 grep이 버전을 출력하고 종료코드 0 반환, 그 이하면 출력 없음
python -c "import pyrage; print(pyrage.__version__)" | grep -E '^1\.(2\.[3-9]|[3-9]|[0-9]{2,})'