🇰🇷 한글 설명
virtualenv 21.14.2 미만 버전에서 Fish 셸 사용 시 발생하는 보안 취약점입니다. 공격자가 제어 가능한 환경 경로, --prompt 또는 VIRTUALENV_PROMPT 값에 백슬래시를 포함하면 Fish 셸의 특이한 구문 해석 방식 때문에 임의의 명령어가 실행될 수 있습니다.
💡 쉬운 설명
파이썬 가상 환경을 만드는 도구에서 설정값에 특수 문자를 넣으면, 사용자가 가상 환경을 활성화할 때 해커가 심어둔 명령어가 몰래 실행될 수 있는 문제입니다.
🇺🇸 원문 (English)
virtualenv is a tool for creating isolated virtual python environments. Prior to 21.14.2, FishActivator inherits ViaTemplateActivator.quote(), which uses POSIX shlex.quote() even though fish interprets backslashes and single quotes differently. An attacker-influenced environment path, --prompt, or VIRTUALENV_PROMPT value containing a backslash before a quote can therefore terminate the generated fish literal and execute command substitution when the user sources activate.fish. This issue is fixed in version 21.14.2.
📍 영향받는 시스템
virtualenv 21.14.2 미만 모든 버전
⚔️ 공격 벡터
조작된 환경 변수(PATH, VIRTUALENV_PROMPT 등)를 통한 명령 주입(Command Injection)
🛡️ 대응 방법
virtualenv를 21.14.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 21.14.2보다 낮으면 취약한 상태입니다.
pip show virtualenv | grep Version