🇰🇷 한글 설명
Python 코드 포매터인 Black의 특정 버전에서 --python-cell-magics 옵션 값이 적절한 검증 없이 캐시 파일 이름에 포함되는 취약점이 발견되었습니다. 공격자가 이 옵션 값을 조작할 경우 임의의 파일 시스템 위치에 캐시 파일을 생성할 수 있습니다. 이 문제는 Black 26.3.1 버전에서 수정되었습니다.
💡 쉬운 설명
프로그램이 임시 파일을 만들 때 이름에 들어가는 글자를 제대로 검사하지 않아 발생하는 문제입니다. 나쁜 의도를 가진 사람이 이름을 조작하면 컴퓨터의 엉뚱한 곳에 파일을 만들어 시스템을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
Black is the uncompromising Python code formatter. Starting in version 24.3.0 and prior to version 26.3.1, Black writes a cache file, the name of which is computed from various formatting options. The value of the --python-cell-magics option was placed in the filename without sanitization, which allowed an attacker who controls the value of this argument to write cache files to arbitrary file system locations. Fixed in Black 26.3.1.
📍 영향받는 시스템
Black version 24.3.0 to version 26.3.0 (inclusive)
⚔️ 공격 벡터
공격자가 --python-cell-magics 인자값을 조작하여 임의의 경로에 파일을 쓰는 방식
🛡️ 대응 방법
Black 버전을 26.3.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 26.3.1 미만(24.3.0 ~ 26.3.0 사이)이면 취약한 상태입니다.
pip show black | grep Version