🇰🇷 한글 설명
Python용 플랫폼 독립적 파일 잠금 라이브러리인 filelock의 특정 버전에서 보안 취약점이 발견되었습니다. 공유 디렉토리에 있는 다른 로컬 사용자가 생성한 프로토콜 디렉토리를 StrictSoftFileLock 또는 SoftReadWriteLock이 채택할 수 있어, 공격자가 프로토콜 상태를 변경하고 동시 잠금 소유자를 허용할 수 있습니다.
💡 쉬운 설명
공용 폴더를 사용하는 환경에서 다른 사용자가 가짜 잠금 파일을 만들어 시스템의 파일 보호 기능을 무력화할 수 있는 문제입니다. 이로 인해 여러 프로그램이 동시에 같은 파일을 수정하여 데이터가 망가질 위험이 있습니다.
🇺🇸 원문 (English)
filelock is a platform-independent file lock for Python. From 3.30.0 until 4.2.1, StrictSoftFileLock versions from 3.30.0 and SoftReadWriteLock versions from 4.0.0 can adopt a protocol directory created first by another local user in a shared parent directory, allowing that user to alter protocol state and admit concurrent holders. This issue is fixed in version 4.2.1.
📍 영향받는 시스템
filelock 3.30.0 ~ 4.2.1 (StrictSoftFileLock 3.30.0 이상, SoftReadWriteLock 4.0.0 이상)
⚔️ 공격 벡터
공유된 부모 디렉토리에 악의적인 프로토콜 디렉토리를 미리 생성하여 파일 잠금 메커니즘을 조작함
🛡️ 대응 방법
filelock 라이브러리를 4.2.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 4.2.1보다 낮으면 취약한 상태입니다.
pip show filelock | grep Version