🇰🇷 한글 설명
pip가 PEP 706을 구현하지 않은 Python 버전에서 tar 아카이브 추출 시 심볼릭 링크가 추출 디렉토리 내를 가리키는지 검증하지 않는 취약점입니다. 이는 악의적인 sdist 패키지로 인한 임의 파일 덮어쓰기를 초래할 수 있습니다.
💡 쉬운 설명
pip에서 패키지를 설치할 때 압축 파일의 특수 링크를 제대로 검증하지 않아 시스템 파일을 손상시킬 수 있습니다. Python이 최신 버전이거나 pip를 업그레이드하면 안전합니다.
🇺🇸 원문 (English)
When extracting a tar archive pip may not check symbolic links point into the extraction directory if the tarfile module doesn't implement PEP 706.
Note that upgrading pip to a "fixed" version for this vulnerability doesn't fix all known vulnerabilities that are remediated by using a Python version that implements PEP 706.
Note that this is a vulnerability in pip's fallback implementation of tar extraction for Python versions that don't implement PEP 706
and therefore are not secure to all vulnerabilities in the Python 'tarfile' module. If you're using a Python version that implements PEP 706
then pip doesn't use the "vulnerable" fallback code.
Mitigations include upgrading to a version of pip that includes the fix, upgrading to a Python version that implements PEP 706 (Python >=3.9.17, >=3.10.12, >=3.11.4, or >=3.12),
applying the linked patch, or inspecting source distributions (sdists) before installation as is already a best-practice.
📍 영향받는 시스템
Python <3.9.17, <3.10.12, <3.11.4, <3.12 (PEP 706 미구현 버전의 pip fallback 코드)
⚔️ 공격 벡터
악의적인 source distribution (sdist) 패키지 설치 시 심볼릭 링크를 통한 디렉토리 탈출 후 임의 파일 덮어쓰기
🛡️ 대응 방법
Python을 3.9.17+, 3.10.12+, 3.11.4+, 3.12+ 로 업그레이드 또는 최신 pip 버전으로 업그레이드
🔧 검증 코드
Python 버전이 권장 버전 이상이고 최신 pip인지 확인. Python 3.9 이상 3.12 미만일 경우 마이너 버전이 17 이상(3.9), 12 이상(3.10), 4 이상(3.11)인지 확인
python --version && pip --version