🇰🇷 한글 설명
virtualenv 21.7.12 이전 버전의 download_wheel() 함수는 다운로드된 pip 및 setuptools 시드 휠의 무결성을 검증하는 과정이 누락되어 있습니다. 이로 인해 공격자가 조작된 휠 파일을 제공할 경우, 가상 환경 생성 시 공격자의 코드가 포함된 휠이 캐시되고 실행될 위험이 있습니다.
💡 쉬운 설명
파이썬 가상 환경을 만들 때 사용하는 도구가 다운로드받은 파일이 진짜인지 확인하지 않는 보안 결함이 있습니다. 해커가 가짜 파일을 중간에 끼워 넣으면 사용자의 컴퓨터에 악성 코드가 설치될 수 있습니다.
🇺🇸 원문 (English)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.7.12, download_wheel() accepts pip and setuptools seed wheels fetched for periodic updates or the --download option without checking their bytes against an authoritative digest equivalent to the embedded wheels' BUNDLE_SHA256 verification. A compromised index, stale mirror, or intercepted TLS connection can substitute a different wheel under the requested distribution, version, and filename, after which virtualenv caches and seeds the attacker-controlled wheel into subsequently created environments. The verification applies to the default PyPI path and is intentionally skipped when PIP_INDEX_URL, PIP_EXTRA_INDEX_URL, or PIP_INDEX configures a custom index that may legitimately publish rebuilt wheels. This issue is fixed in version 21.7.12.
📍 영향받는 시스템
virtualenv versions prior to 21.7.12
⚔️ 공격 벡터
조작된 인덱스, 오래된 미러 서버 또는 TLS 중간자 공격(MITM)을 통한 악성 휠 파일 교체
🛡️ 대응 방법
virtualenv를 21.7.12 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 21.7.12 미만이면 취약한 상태입니다.
pip show virtualenv | grep Version