🇰🇷 한글 설명
Python용 플랫폼 독립적 파일 잠금 라이브러리인 filelock의 SoftFileLock 기능에서 발생하는 취약점입니다. 공격자가 특정 조건에서 파일 마커를 해제하고 재사용된 inode에 새로운 마커가 생성될 때, 수정 시간이 업데이트되지 않으면 기존 마커가 삭제되어 두 명의 사용자가 동시에 잠금을 획득할 수 있습니다.
💡 쉬운 설명
파일을 한 번에 한 명만 사용할 수 있도록 잠그는 기능에 오류가 있어, 두 명이 동시에 파일을 수정할 수 있는 상태가 될 수 있습니다. 이로 인해 데이터가 꼬이거나 손상될 위험이 있습니다.
🇺🇸 원문 (English)
filelock is a platform-independent file lock for Python. From 3.22.0 until 4.2.1, SoftFileLock can break a stale marker after an attacker frees its own marker following the stale read, an honest contender creates a live successor on the reused inode, and the successor's modification time is not newer than the saved observation, causing the live marker to be removed and two holders to be admitted. This issue is fixed in version 4.2.1.
📍 영향받는 시스템
filelock 라이브러리 버전 3.22.0 ~ 4.2.1
⚔️ 공격 벡터
공격자가 파일 마커를 의도적으로 해제하고 inode 재사용 시점을 이용한 레이스 컨디션 공격
🛡️ 대응 방법
filelock 라이브러리를 4.2.1 버전 이상으로 업데이트
🔧 검증 코드
출력된 Version 값이 4.2.1 미만이면 취약한 버전이 설치된 것입니다.
pip show filelock | grep Version