🇰🇷 한글 설명
Python의 filelock 라이브러리 4.0.0부터 4.2.1 버전 사이의 SoftReadWriteLock 기능에서 발생하는 취약점입니다. 로컬 사용자가 잠금 디렉토리에 접근하여 레코드를 이름이 지정된 파이프로 교체하거나 하드 링크를 생성함으로써 잠금 프로세스를 중단시키거나 대상 파일에 데이터를 쓰게 유도할 수 있습니다.
💡 쉬운 설명
컴퓨터 파일의 사용 권한을 관리하는 프로그램에 허점이 있어, 같은 컴퓨터를 쓰는 다른 사람이 파일 잠금 기능을 방해하거나 엉뚱한 파일에 내용을 적게 만들 수 있습니다. 이로 인해 프로그램이 멈추거나 데이터가 잘못된 곳에 저장될 위험이 있습니다.
🇺🇸 원문 (English)
filelock is a platform-independent file lock for Python. From 4.0.0 until 4.2.1, SoftReadWriteLock refreshes holder records by name, allowing another local user with rename access to the lock directory to replace a record with a named pipe and stall the lock, or under a permissive hard-link policy to link a reachable target file and cause the lock user to write through it. This issue is fixed in version 4.2.1.
📍 영향받는 시스템
Python filelock library versions 4.0.0 to 4.2.1
⚔️ 공격 벡터
로컬 사용자가 잠금 디렉토리 내의 레코드를 이름이 지정된 파이프(Named Pipe)로 교체하거나 하드 링크(Hard-link)를 생성하는 방식
🛡️ 대응 방법
filelock 라이브러리를 4.2.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.2.1 미만(예: 4.0.0 ~ 4.2.0)이면 취약한 상태입니다.
pip show filelock | grep Version