🇰🇷 한글 설명
virtualenv 21.7.12 미만 버전에서 BatchActivator.quote() 함수가 프롬프트 텍스트를 적절히 처리하지 못하는 취약점이 발견되었습니다. 공격자가 --prompt 또는 VIRTUALENV_PROMPT 설정을 조작하여 큰따옴표를 삽입할 경우, Windows cmd.exe에서 임의의 명령어가 실행될 수 있습니다.
💡 쉬운 설명
파이썬 가상 환경을 설정할 때 이름에 특수 문자를 넣으면 컴퓨터가 이를 명령어로 착각하여 실행할 수 있는 문제입니다. 공격자가 만든 악성 설정이 포함된 환경을 실행하면 사용자의 권한으로 해킹 명령이 수행될 수 있습니다.
🇺🇸 원문 (English)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.7.12, BatchActivator.quote() returns prompt text unchanged before activate.bat inserts it into a cmd.exe set "VAR=value" statement. An attacker who influences --prompt, VIRTUALENV_PROMPT, or the corresponding configuration value can include a double quote that closes the assignment and leaves following cmd.exe operators as executable syntax. When a user activates the generated Windows environment, the injected commands run with that user's privileges. This issue is fixed in version 21.7.12.
📍 영향받는 시스템
virtualenv 21.7.12 미만 버전 (Windows 환경)
⚔️ 공격 벡터
사용자가 조작된 --prompt 또는 VIRTUALENV_PROMPT 설정을 포함한 가상 환경을 활성화할 때 발생
🛡️ 대응 방법
virtualenv를 21.7.12 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 21.7.12보다 낮으면 취약한 상태입니다.
pip show virtualenv | grep Version