🇰🇷 한글 설명
virtualenv는 격리된 파이썬 가상 환경을 생성하는 도구입니다. 21.14.9 이전 버전에서는 사용자가 입력한 프롬프트 텍스트가 bash 활성화 프롬프트에서 실행 가능한 구문으로 변할 수 있는 취약점이 존재합니다. 공격자가 virtualenv에 전달되는 값을 조작할 수 있고 사용자가 해당 환경을 활성화하여 프롬프트를 출력할 경우 발생합니다.
💡 쉬운 설명
가상 환경을 만들 때 설정하는 이름이나 문구에 악성 명령어를 숨겨둘 수 있는 문제입니다. 사용자가 이 가상 환경을 켜는 순간 숨겨진 명령어가 자동으로 실행될 위험이 있습니다.
🇺🇸 원문 (English)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.9, caller-supplied prompt text can become executable syntax in the bash activation prompt. An attacker must influence the value passed to virtualenv, and a user must subsequently activate the environment and draw the prompt. This vulnerability is fixed in 21.14.9.
📍 영향받는 시스템
virtualenv 21.14.9 미만 버전
⚔️ 공격 벡터
공격자가 조작한 프롬프트 텍스트가 포함된 가상 환경을 사용자가 활성화할 때 발생
🛡️ 대응 방법
virtualenv를 21.14.9 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 21.14.9보다 낮은지 확인
pip show virtualenv | grep Version