🇰🇷 한글 설명
patool 4.0.6 미만 버전에서 Windows 환경을 대상으로 하는 OS 명령 주입 취약점이 발견되었습니다. shell_quote_nt 함수가 아카이브 파일명에 포함된 cmd.exe 메타문자나 큰따옴표를 제대로 이스케이프하지 못해 발생합니다. 공격자는 특수하게 조작된 파일명을 통해 patool 프로세스 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
압축 파일을 다루는 프로그램이 파일 이름에 포함된 특수 기호를 제대로 처리하지 못해 발생하는 문제입니다. 악의적으로 만든 파일 이름을 가진 압축 파일을 열기만 해도 해커가 컴퓨터에 몰래 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
patool before 4.0.6 contains an OS command injection vulnerability on Windows because shell_quote_nt fails to escape cmd.exe metacharacters or embedded double quotes in archive filenames. Attackers can supply crafted filenames like report&calc.gz for single-file formats run with shell=True to execute commands with patool process privileges.
📍 영향받는 시스템
patool 4.0.6 미만 버전 (Windows 환경)
⚔️ 공격 벡터
특수 기호(&, ", 등)가 포함된 조작된 아카이브 파일명을 통해 명령 주입 실행
🛡️ 대응 방법
patool을 4.0.6 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.0.6보다 낮으면 취약한 상태입니다.
pip show patool | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows