🇰🇷 한글 설명
Python-Future 1.0.0이 같은 디렉토리나 sys.path에 있는 test.py를 자동으로 import하여 임의의 코드 실행을 허용합니다. 서버에 파일 쓰기 권한이 있는 공격자가 이를 악용하여 악성 코드를 실행할 수 있습니다. 다만 이는 python-future의 결함이 아니라 Python의 documented import system 동작입니다.
💡 쉬운 설명
Python-Future가 현재 폴더에 있는 test.py를 자동으로 실행하므로, 공격자가 악성 test.py를 넣으면 나쁜 코드가 실행됩니다. 이는 Python의 정상적인 import 동작이지만 보안 위험이 될 수 있습니다.
🇺🇸 원문 (English)
A vulnerability in the Python-Future 1.0.0 module allows for arbitrary code execution via the unintended import of a file named test.py. When the module is loaded, it automatically imports test.py, if present in the same directory or in the sys.path. This behavior can be exploited by an attacker who has the ability to write files to the server, allowing the execution of arbitrary code. NOTE: Multiple third parties have disputed this issue and stated that it is not a security flaw in python-future and is a documented feature of Python’s import system in the handling of sys.path.
📍 영향받는 시스템
Python-Future 1.0.0
⚔️ 공격 벡터
서버의 작업 디렉토리나 sys.path에 접근 가능한 위치에 악성 test.py 파일을 작성하여 자동 실행 유도
🛡️ 대응 방법
신뢰되지 않은 경로에서의 import 제한, sys.path 관리 강화, 또는 python-future 대체 모듈 검토
🔧 검증 코드
현재 설치된 python-future 버전을 확인하고, 공개된 패치 버전과 비교하여 업그레이드 여부 결정
pip show python-future | grep Version