🇰🇷 한글 설명
Python용 플랫폼 독립적 파일 잠금 라이브러리인 filelock의 SoftFileLock 기능에서 프로세스 식별자 위조 취약점이 발견되었습니다. 공격자가 마커를 수정하여 권한이 있는 프로세스가 잘못된 동작을 수행하도록 유도함으로써 파일 잠금을 해제하고 다른 프로세스가 접근할 수 있게 만들 수 있습니다.
💡 쉬운 설명
파일을 사용 중일 때 다른 사람이 못 쓰게 잠그는 기능에 허점이 있습니다. 공격자가 이 잠금 정보를 조작하면, 시스템이 속아서 잠금을 풀어버리고 다른 사람이 파일을 사용할 수 있게 됩니다.
🇺🇸 원문 (English)
filelock is a platform-independent file lock for Python. From 3.22.0 until 4.2.1, SoftFileLock can trust a forged process identifier in a marker that an attacker can modify but cannot remove, allowing an authorized contender such as another process of the holder's account or root to act as a confused deputy, remove the live marker, and admit another holder. This issue is fixed in version 4.2.1.
📍 영향받는 시스템
filelock 라이브러리 버전 3.22.0부터 4.2.1 미만
⚔️ 공격 벡터
공격자가 수정 가능한 마커 내의 프로세스 식별자(PID)를 위조하여 권한 있는 프로세스를 혼란에 빠뜨림
🛡️ 대응 방법
filelock 라이브러리를 최신 버전인 4.2.1 이상으로 업데이트
🔧 검증 코드
출력된 버전이 4.2.1보다 낮으면 취약한 상태이며, 4.2.1 이상이면 안전합니다.
pip show filelock | grep Version