🇰🇷 한글 설명
internetarchive 라이브러리의 File.download() 메서드에서 사용자 제공 파일명 검증이 부족하여 경로 트래버설 취약점이 발생합니다. 악의적인 파일명으로 의도된 디렉토리 외부에 파일을 작성할 수 있으며, 시스템 파일 덮어쓰기, 권한 상승, 원격 코드 실행으로 이어질 수 있습니다.
💡 쉬운 설명
internetarchive 프로그램이 파일을 받을 때 파일 위치를 제대로 확인하지 않아서 중요한 시스템 파일을 덮어쓸 수 있습니다. 이렇게 되면 컴퓨터가 고장 나거나 해킹당할 수 있습니다.
🇺🇸 원문 (English)
internetarchive is a Python and Command-Line Interface to Archive.org In versions 5.5.0 and below, there is a directory traversal (path traversal) vulnerability in the File.download() method of the internetarchive library. The file.download() method does not properly sanitize user-supplied filenames or validate the final download path. A maliciously crafted filename could contain path traversal sequences (e.g., ../../../../windows/system32/file.txt) or illegal characters that, when processed, would cause the file to be written outside of the intended target directory. An attacker could potentially overwrite critical system files or application configuration files, leading to a denial of service, privilege escalation, or remote code execution, depending on the context in which the library is used. The vulnerability is particularly critical for users on Windows systems, but all operating systems are affected. This issue is fixed in version 5.5.1.
📍 영향받는 시스템
internetarchive 라이브러리 5.5.0 이하 (모든 OS, Windows에서 특히 위험)
⚔️ 공격 벡터
악의적인 파일명에 경로 트래버설 시퀀스(../../../../등)를 포함하여 File.download() 메서드 호출
🛡️ 대응 방법
internetarchive를 5.5.1 이상으로 업그레이드
🔧 검증 코드
5.5.1 이상이면 안전, 5.5.0 이하면 즉시 업그레이드 필요
pip show internetarchive | grep Version | awk '{print $2}'