🇰🇷 한글 설명
Python 기반 폰트 조작 라이브러리인 fontTools의 varLib 스크립트에서 임의 파일 쓰기 취약점이 발견되었습니다. 악의적으로 조작된 .designspace 파일을 처리할 경우 원격 코드 실행(RCE)이 가능합니다. 이 문제는 fontTools 4.60.2 버전에서 패치되었습니다.
💡 쉬운 설명
폰트 파일을 만드는 도구가 가짜 설계 파일을 읽을 때 컴퓨터에 몰래 파일을 만들거나 명령을 실행할 수 있는 문제입니다. 해커가 만든 특수한 파일을 열기만 해도 컴퓨터가 해킹될 위험이 있습니다.
🇺🇸 원문 (English)
fontTools is a library for manipulating fonts, written in Python. In versions from 4.33.0 to before 4.60.2, the fonttools varLib (or python3 -m fontTools.varLib) script has an arbitrary file write vulnerability that leads to remote code execution when a malicious .designspace file is processed. The vulnerability affects the main() code path of fontTools.varLib, used by the fonttools varLib CLI and any code that invokes fontTools.varLib.main(). This issue has been patched in version 4.60.2.
📍 영향받는 시스템
fontTools 4.33.0 버전부터 4.60.2 미만 버전
⚔️ 공격 벡터
악의적으로 조작된 .designspace 파일을 fontTools.varLib 스크립트로 처리하도록 유도
🛡️ 대응 방법
fontTools 라이브러리를 4.60.2 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 Version이 4.60.2보다 낮으면 취약한 상태입니다.
pip show fonttools | grep Version