🇰🇷 한글 설명
virtualenv의 POSIX xonsh 활성화 기능에서 비-ASCII 문자를 처리할 때 발생하는 취약점입니다. GBK나 Big5와 같은 레거시 멀티바이트 인코딩 환경에서 UTF-8 바이트가 이스케이프 문자를 무력화하여, 공격자가 조작한 명령어가 실행될 수 있습니다.
💡 쉬운 설명
파이썬 가상 환경을 만드는 도구에서 특수 문자를 처리하는 방식에 오류가 있습니다. 특정 언어 설정 환경에서 사용자가 가상 환경을 실행할 때, 공격자가 숨겨놓은 악성 코드가 몰래 실행될 수 있습니다.
🇺🇸 원문 (English)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.9, POSIX xonsh activation quote() uses repr() to write printable non-ASCII prompt or destination data into UTF-8 activate.xsh, while xonsh can read that script using $XONSH_ENCODING. Under a legacy multibyte codec such as GBK or Big5, a UTF-8 trail byte can consume the backslash before an adjacent quote, allowing the literal to close and attacker-influenced statements to execute when the user sources the generated script. This issue is fixed in version 21.14.9.
📍 영향받는 시스템
virtualenv 21.14.9 미만 버전
⚔️ 공격 벡터
사용자가 조작된 프롬프트 데이터가 포함된 가상 환경 스크립트를 xonsh 쉘에서 실행(source)할 때 발생
🛡️ 대응 방법
virtualenv를 21.14.9 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 21.14.9보다 낮은지 확인하십시오.
pip show virtualenv | grep Version