🇰🇷 한글 설명
sigstore-python은 Sigstore 서명 생성 및 검증을 위한 Python 도구입니다. 버전 4.2.0 이전 버전의 sigstore-python OAuth 인증 흐름은 Cross-Site Request Forgery에 취약합니다. `_OAuthSession`은 고유한 '상태'를 생성하여 인증 요청의 매개변수로 전송하지만, 서버 응답의 '상태'는 이 값과 교차 검증되지 않는 것 같습니다. 버전 4.2.0에는 이 문제에 대한 패치가 포함되어 있습니다.
💡 쉬운 설명
sigstore-python의 인증 과정에서 보안 취약점이 발견되었습니다. 공격자가 사용자를 속여 불법적인 요청을 하게 만들 수 있습니다. 최신 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
sigstore-python is a Python tool for generating and verifying Sigstore signatures. Prior to version 4.2.0, the sigstore-python OAuth authentication flow is susceptible to Cross-Site Request Forgery. `_OAuthSession` creates a unique "state" and sends it as a parameter in the authentication request but the "state" in the server response seems not not be cross-checked with this value. Version 4.2.0 contains a patch for the issue.
📍 영향받는 시스템
sigstore-python 버전 4.2.0 이전 버전
⚔️ 공격 벡터
Cross-Site Request Forgery (CSRF) 공격
🛡️ 대응 방법
sigstore-python을 버전 4.2.0 이상으로 업데이트하세요.
🔧 검증 코드
이 코드는 로컬 시스템의 sigstore-python 버전을 확인하여 취약점 여부를 판단합니다. Python이 설치되어 있는 환경에서 실행할 수 있습니다. 코드 실행 결과는 JSON 형식으로 출력됩니다.
import pkg_resources
version = pkg_resources.get_distribution('sigstore-python').version
if version < '4.2.0':
print({"result": "취약", "reason": "sigstore-python 버전이 4.2.0 미만"})
else:
print({"result": "양호", "reason": "sigstore-python 버전이 4.2.0 이상"})