🇰🇷 한글 설명
Python용 플랫폼 독립적 파일 잠금 라이브러리인 filelock의 SoftFileLock 버전 4.1.0부터 4.2.1 사이에서 발생하는 취약점입니다. 공격자가 마커를 미리 생성했다가 삭제함으로써 오래된 관찰 정보를 재사용하게 만들어, 정상적인 프로세스가 생성한 잠금 마커를 무효화할 수 있습니다.
💡 쉬운 설명
파일을 사용 중인지 확인하는 과정에서 공격자가 가짜 흔적을 남겼다 지움으로써 시스템을 혼란에 빠뜨리는 문제입니다. 이로 인해 정상적인 사용자가 파일을 잠그려고 해도 시스템이 이를 잘못된 정보로 인식하여 잠금 기능이 제대로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
filelock is a platform-independent file lock for Python. From 4.1.0 until 4.2.1, SoftFileLock versions from 4.1.0 can reuse a stale observation when an attacker pre-dates and removes its own marker, at least two lock-user processes are waiting, coarse or matching modification times preserve the observation, and an honest contender creates a fresh marker on the reused inode, causing that live marker to be removed as stale. This issue is fixed in version 4.2.1.
📍 영향받는 시스템
filelock 4.1.0 ~ 4.2.1 버전
⚔️ 공격 벡터
공격자가 파일 마커를 미리 생성 및 삭제하여 stale(오래된) 관찰 정보를 재사용하게 만드는 방식
🛡️ 대응 방법
filelock 라이브러리를 4.2.1 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 4.1.0에서 4.2.1 사이라면 취약한 버전입니다.
pip show filelock | grep Version