🇰🇷 한글 설명
Python용 플랫폼 독립적 파일 잠금 라이브러리인 filelock의 특정 버전에서 심볼릭 링크를 통한 경로 조작 취약점이 발견되었습니다. 공격자가 잠금 디렉토리에 이름을 생성할 수 있는 권한이 있다면, 데이터베이스 생성 및 잠금 경로를 리디렉션하거나 상호 배제 메커니즘을 분리할 수 있습니다.
💡 쉬운 설명
파일을 안전하게 잠그는 기능이 가짜 경로(심볼릭 링크)를 제대로 확인하지 못해 발생하는 문제입니다. 이를 통해 다른 사용자가 데이터베이스 위치를 바꾸거나 잠금 기능을 무력화할 수 있습니다.
🇺🇸 원문 (English)
filelock is a platform-independent file lock for Python. From 3.20.4 until 4.0.9, ReadWriteLock and AsyncReadWriteLock versions from 3.20.4 resolve the lock path and pass it to SQLite without rejecting a final symbolic link, allowing another local user who can create names in the lock directory to redirect database creation and locking or split mutual exclusion between targets. This issue is fixed in version 4.0.9.
📍 영향받는 시스템
filelock 3.20.4 버전부터 4.0.9 미만 버전
⚔️ 공격 벡터
로컬 사용자가 잠금 디렉토리에 심볼릭 링크를 생성하여 파일 경로를 조작하는 방식
🛡️ 대응 방법
filelock 라이브러리를 4.0.9 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 4.0.9보다 낮으면 취약한 상태입니다.
pip show filelock | grep Version