🇰🇷 한글 설명
filelock 라이브러리의 StrictSoftFileLock 및 AsyncStrictSoftFileLock은 3.30.0부터 4.2.1 이전 버전까지 POSIX 시스템에서 조정(coordination) 및 claim 디렉터리를 생성할 때 호출자가 지정한 제한적 잠금 모드를 적용하지 않습니다. 이로 인해 다른 로컬 사용자가 해당 디렉터리에 쓰기 권한을 가질 수 있으며, 활성 잠금 보유자의 claim을 삭제하여 임계 구역이 보호되지 않은 상태에서 다른 프로세스가 잠금을 획득할 수 있습니다.
💡 쉬운 설명
같은 컴퓨터를 쓰는 다른 사용자가 프로그램이 잠금 상태로 쓰고 있는 파일 표식을 지워서, 잠금이 풀린 것처럼 속일 수 있는 문제입니다. 또한 잘못된 표식을 만들어 다른 프로그램이 잠금을 얻지 못하게 막을 수도 있습니다.
🇺🇸 원문 (English)
filelock is a platform-independent file lock for Python. From version 3.30.0 until version 4.2.1, StrictSoftFileLock and AsyncStrictSoftFileLock on POSIX systems create coordination and claim directories without applying the caller’s restrictive lock mode. A permissive umask or inherited default ACL can leave these directories writable by another local user, allowing that user to delete an active holder’s claims. Another authorized process can then acquire the lock while the original holder remains in its critical section. An attacker can also plant malformed claims to prevent acquisition. This issue is fixed in version 4.2.1.
📍 영향받는 시스템
filelock 3.30.0 이상 4.2.1 미만을 사용하는 POSIX(Linux/macOS 등) 시스템의 Python 애플리케이션
⚔️ 공격 벡터
동일 시스템의 권한 있는 로컬 사용자가 느슨한 권한으로 생성된 claim 디렉터리의 파일을 삭제하거나 잘못된 claim 파일을 심어 잠금 동작을 방해합니다.
🛡️ 대응 방법
filelock을 4.2.1 이상으로 업그레이드하고, 공유 환경에서는 umask 및 기본 ACL을 제한적으로 설정하세요.
🔧 검증 코드
출력된 Version 값이 3.30.0 이상 4.2.1 미만이면 취약한 버전이므로 4.2.1 이상으로 업그레이드가 필요하며, 4.2.1 이상이면 이 취약점에 해당하지 않습니다.
pip show filelock 2>/dev/null | grep -i '^version'