🇰🇷 한글 설명
bzip, LZMA, Zstandard 압축 방식을 사용하는 조작된 zip 파일을 해제할 때, Python이 공격자가 제어하는 크기만큼 메모리를 미리 할당할 수 있습니다. 이로 인해 시스템의 메모리가 고갈되어 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
나쁜 의도로 만든 압축 파일을 풀면 컴퓨터의 메모리를 한꺼번에 너무 많이 사용하게 만듭니다. 이로 인해 컴퓨터가 느려지거나 멈출 수 있습니다.
🇺🇸 원문 (English)
When decompressing crafted zip files using the bzip/LZMA/Zstandard
compressions, Python could use an attacker-controlled size to
pre-allocate memory, possibly resulting in memory exhaustion.
📍 영향받는 시스템
bzip/LZMA/Zstandard 압축 라이브러리를 사용하는 Python 환경
⚔️ 공격 벡터
조작된 압축 파일(zip)을 시스템에 업로드하거나 실행하여 압축 해제 유도
🛡️ 대응 방법
Python 및 관련 압축 라이브러리를 최신 보안 패치 버전으로 업데이트
🔧 검증 코드
명령어 실행 시 오류 없이 'Libraries present'가 출력되면 해당 압축 라이브러리를 사용하는 Python 환경임
python3 -c 'import bz2, lzma, zstandard; print("Libraries present")' 2>/dev/null