🇰🇷 한글 설명
virtualenv 21.7.11 이전 버전에서 PyEnvCfg.write() 함수가 프롬프트 값을 검증 없이 그대로 기록하여 발생하는 취약점입니다. 공격자가 프롬프트 설정을 조작할 경우 pyvenv.cfg 파일에 임의의 키를 삽입하여 공격자가 지정한 베이스 인터프리터를 사용하게 하거나 환경 메타데이터를 손상시킬 수 있습니다.
💡 쉬운 설명
가상 환경을 만드는 도구의 설정 파일에 악성 코드가 몰래 끼어들어갈 수 있는 문제입니다. 이를 통해 해커가 지정한 잘못된 파이썬 실행 파일을 사용하게 만들어 시스템을 교란할 수 있습니다.
🇺🇸 원문 (English)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.7.11, PyEnvCfg.write() writes prompt values verbatim to the line-oriented pyvenv.cfg format while PyEnvCfg._read_values() parses the file with str.splitlines() and accepts the last value for duplicate keys. An attacker who influences --prompt, VIRTUALENV_PROMPT, or configuration input can insert a recognized line boundary and additional keys, including home, causing consumers to use an attacker-selected base interpreter or corrupted environment metadata. The security impact requires prompt input from outside the operator's trust boundary; directly supplied prompt content primarily corrupts the operator's own environment. This issue is fixed in version 21.7.11.
📍 영향받는 시스템
virtualenv 21.7.11 미만 버전
⚔️ 공격 벡터
--prompt 옵션, VIRTUALENV_PROMPT 환경 변수 또는 설정 입력을 통한 설정 파일 주입
🛡️ 대응 방법
virtualenv를 21.7.11 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 21.7.11보다 낮은지 확인하십시오.
pip show virtualenv | grep Version