🇰🇷 한글 설명
filelock은 Python용 플랫폼 독립적 파일 잠금 라이브러리입니다. 3.10.0부터 4.2.1 이전까지 Windows에서 WindowsFileLock 파일과 ReadWriteLock SQLite 데이터베이스의 mode 인자가 무시되어, mode=0o600으로 생성한 잠금 파일이 상위 디렉터리의 상속 가능한 ACL을 그대로 받습니다. 같은 시스템의 다른 로컬 계정이 접근 권한을 가진 경우 잠금 보유자 정보를 읽거나 쓰기 권한이 있는 파일을 수정할 수 있으며, 잠금 해제 후 바이트 범위 잠금을 선점해 후속 획득을 지연시킬 수 있습니다. UnixFileLock은 영향을 받지 않습니다.
💡 쉬운 설명
Windows에서 Python 파일 잠금 라이브러리가 파일을 만들 때 비공개 권한을 적용하지 않아, 같은 PC의 다른 사용자가 잠금 관련 파일을 들여다보거나 건드릴 수 있습니다. 다만 프로세스 간 상호 배제 자체는 깨지지 않습니다.
🇺🇸 원문 (English)
filelock is a platform-independent file lock for Python. From 3.10.0 until 4.2.1, filelock on Windows ignores the mode argument for WindowsFileLock files and the ReadWriteLock SQLite database. A lock created with mode=0o600 receives the parent directory's inheritable ACL because _open_non_reparse_fd and _nt_open do not create an owner-only security descriptor. Another local account with inherited access can read holder metadata or the lock database, modify those files where the ACL permits writes, or take the byte-range lock after release and delay later acquisitions. UnixFileLock is not affected, and mutual exclusion between cooperating processes continues to hold. This issue is fixed in version 4.2.1.
📍 영향받는 시스템
Windows에서 filelock 3.10.0 이상 4.2.1 미만을 사용하는 Python 환경 (UnixFileLock 사용 환경은 영향 없음)
⚔️ 공격 벡터
같은 Windows 시스템의 다른 로컬 계정이 상속된 ACL을 통해 잠금 파일/SQLite DB의 메타데이터를 읽거나, 쓰기 권한이 있는 경우 수정하고, 잠금을 선점해 다른 프로세스의 획득을 지연시킴
🛡️ 대응 방법
filelock을 4.2.1 이상으로 업그레이드 (pip install --upgrade "filelock>=4.2.1")
🔧 검증 코드
출력된 Version 값이 4.2.1 미만이고 Windows 환경이라면 취약하므로 업그레이드가 필요하며, 4.2.1 이상이면 수정된 버전입니다.
pip show filelock 2>/dev/null | grep -i '^version'