🇰🇷 한글 설명
NLTK 3.9.3 및 이전 버전의 다운로더가 원격 XML 인덱스 파일을 처리할 때 subdir 및 id 속성을 검증하지 않는 취약점이 발견되었습니다. 공격자가 조작된 XML 서버를 통해 경로 탐색(Path Traversal) 시퀀스를 주입하면 임의의 디렉토리 생성, 파일 생성 및 파일 덮어쓰기가 가능합니다.
💡 쉬운 설명
NLTK라는 도구가 외부 파일을 내려받을 때 파일 경로를 제대로 확인하지 않아 발생하는 문제입니다. 해커가 나쁜 경로를 섞어 보내면 컴퓨터에 원치 않는 파일을 만들거나 기존 파일을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
NLTK (Natural Language Toolkit) is a suite of open source Python modules, data sets, and tutorials supporting research and development in Natural Language Processing. In versions 3.9.3 and prior, the NLTK downloader does not validate the `subdir` and `id` attributes when processing remote XML index files. Attackers can control a remote XML index server to provide malicious values containing path traversal sequences (such as `../`), which can lead to arbitrary directory creation, arbitrary file creation, and arbitrary file overwrite. Commit 89fe2ec2c6bae6e2e7a46dad65cc34231976ed8a patches the issue.
📍 영향받는 시스템
NLTK 3.9.3 및 그 이전 버전
⚔️ 공격 벡터
조작된 원격 XML 인덱스 서버를 통한 경로 탐색(Path Traversal) 공격
🛡️ 대응 방법
NLTK를 최신 버전(패치 적용 버전)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.9.3 이하이면 취약한 상태이며, 패치된 버전 이상이어야 안전합니다.
pip show nltk | grep Version