🇰🇷 한글 설명
virtualenv 21.14.9 이전 버전에서 download_wheel() 함수가 패키지 검증 전에 다운로드 파일을 캐시에 직접 기록하는 취약점이 발견되었습니다. 공격자가 조작된 패키지 인덱스를 통해 잘못된 경로를 해싱하거나 검증되지 않은 아카이브를 캐시에 남겨두어 나중에 선택되도록 유도할 수 있습니다. 이 문제는 21.14.9 버전에서 수정되었습니다.
💡 쉬운 설명
파이썬 가상 환경을 만드는 도구인 virtualenv에서 보안 검증을 우회하여 가짜 파일을 설치하게 만들 수 있는 결함이 있습니다. 공격자가 조작된 정보를 보내면 검증되지 않은 파일이 컴퓨터에 저장되어 나중에 실행될 위험이 있습니다.
🇺🇸 원문 (English)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.9, download_wheel() writes package-index downloads directly into the reusable wheel/house cache before selecting a verification target from pip's textual Saved output. With default-index digest comparison enabled, a controlled package index can inject a misleading Saved line through a discarded link's data-requires-python attribute; this forged-line variant also requires knowledge of an absolute path to the genuine bundled wheel. The wrong path can then be hashed, while a digest mismatch leaves the rejected archive in the cache for later selection without verification. A separate rejected-cache-file variant requires control over downloaded data or archive selection but not the forged-line prerequisites. Explicit custom-index exceptions are outside the promised PyPI comparison, and the issue does not independently bypass TLS or establish control of default PyPI. This issue is fixed in version 21.14.9.
📍 영향받는 시스템
virtualenv version < 21.14.9
⚔️ 공격 벡터
조작된 패키지 인덱스를 통해 잘못된 경로 정보를 주입하거나 검증되지 않은 아카이브를 캐시에 남기는 방식
🛡️ 대응 방법
virtualenv를 21.14.9 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 21.14.9보다 낮으면 취약한 상태입니다.
pip show virtualenv | grep Version