🇰🇷 한글 설명
virtualenv 21.14.9 미만 버전에서 stdlib venv 생성기가 pyvenv.cfg 파일을 읽을 때 줄 바꿈 문자를 처리하는 과정에서 설정 주입 취약점이 존재합니다. 공격자가 경로 이름에 특수 문자를 포함시켜 include-system-site-packages와 같은 설정을 조작함으로써 가상 환경의 격리 수준을 낮추거나 표준 라이브러리 로드 경로를 변경할 수 있습니다.
💡 쉬운 설명
가상 환경을 만드는 도구에서 파일 이름을 조작해 설정값을 몰래 끼워 넣을 수 있는 보안 약점이 발견되었습니다. 이를 통해 공격자는 가상 환경의 보안 벽을 허물거나 시스템의 중요한 파일을 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.9, the stdlib venv creator reads generated pyvenv.cfg with str.splitlines() and merges parsed keys over virtualenv's selected configuration. An untrusted caller who influences the destination pathname can include a line-boundary character such as U+2028 to inject keys including home and include-system-site-packages, causing path data to change configuration structure before final output. Setting include-system-site-packages to true weakens environment isolation, while an altered home can change which standard-library files the interpreter loads if the attacker also controls that location. The builtin creator does not use this readback path. This issue is fixed in version 21.14.9.
📍 영향받는 시스템
virtualenv versions prior to 21.14.9
⚔️ 공격 벡터
신뢰할 수 없는 사용자가 목적지 경로 이름에 U+2028과 같은 줄 바꿈 문자를 포함시켜 설정 키를 주입하는 방식
🛡️ 대응 방법
virtualenv를 21.14.9 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 21.14.9보다 낮으면 취약한 상태이며, 21.14.9 이상이면 안전합니다.
pip show virtualenv | grep Version