🇰🇷 한글 설명
Python용 플랫폼 독립적 파일 잠금 라이브러리인 filelock의 4.1.0부터 4.2.1 버전 사이에서 발생합니다. 공격자가 권한이 있는 디렉토리에서 심볼릭 링크를 사용하여 잠금 파일을 하드 링크로 교체함으로써 의도하지 않은 파일에 접근할 수 있는 취약점입니다.
💡 쉬운 설명
파일을 안전하게 잠그는 기능에 허점이 있어, 나쁜 의도를 가진 사용자가 가짜 연결 고리를 만들어 시스템의 중요한 파일을 건드릴 수 있습니다. 이로 인해 파일이 잘못 수정되거나 보안이 뚫릴 위험이 있습니다.
🇺🇸 원문 (English)
filelock is a platform-independent file lock for Python. From 4.1.0 until 4.2.1, SoftFileLock can restore a stale marker by name after moving it aside, allowing another local user with rename access in a non-sticky lock directory to swap in a symbolic link and, on a runtime that follows the link and a same-filesystem target, make the lock user hard-link one of its files into the lock directory. This issue is fixed in version 4.2.1.
📍 영향받는 시스템
filelock library versions 4.1.0 to 4.2.1
⚔️ 공격 벡터
로컬 사용자가 권한이 있는 디렉토리에서 심볼릭 링크와 하드 링크를 이용한 파일 교체 공격
🛡️ 대응 방법
filelock 라이브러리를 4.2.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.2.1보다 낮으면 취약한 상태이며, 4.2.1 이상이면 안전합니다.
pip show filelock | grep Version