🇰🇷 한글 설명
Python-Markdown 3.8 버전에서 잘못된 형식의 HTML 유사 시퀀스가 입력될 경우 html.parser.HTMLParser가 처리되지 않은 AssertionError를 발생시키는 취약점이 발견되었습니다. 이로 인해 공격자가 제어하는 마크다운을 처리하는 웹 애플리케이션, 문서 시스템, CI/CD 파이프라인 등에서 원격 서비스 거부(DoS)가 발생할 수 있습니다.
💡 쉬운 설명
특수하게 조작된 마크다운 문서를 입력하면 프로그램이 예상치 못한 오류를 일으키며 갑자기 멈춰버릴 수 있습니다. 이를 통해 웹사이트나 서비스를 마비시키는 공격이 가능합니다.
🇺🇸 원문 (English)
Python-Markdown version 3.8 contain a vulnerability where malformed HTML-like sequences can cause html.parser.HTMLParser to raise an unhandled AssertionError during Markdown parsing. Because Python-Markdown does not catch this exception, any application that processes attacker-controlled Markdown may crash. This enables remote, unauthenticated Denial of Service in web applications, documentation systems, CI/CD pipelines, and any service that renders untrusted Markdown. The issue was acknowledged by the vendor and fixed in version 3.8.1. This issue causes a remote Denial of Service in any application parsing untrusted Markdown, and can lead to Information Disclosure through uncaught exceptions.
📍 영향받는 시스템
Python-Markdown version 3.8
⚔️ 공격 벡터
공격자가 조작된 마크다운 입력을 통해 서버의 파싱 프로세스를 강제로 중단시키는 원격 서비스 거부(DoS) 공격
🛡️ 대응 방법
Python-Markdown을 최신 보안 패치가 적용된 버전 3.8.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 3.8.0 이하인지 확인하여 취약 여부를 판단합니다.
pip show markdown | grep Version