🇰🇷 한글 설명
Python 의존성 관리자인 Poetry의 1.4.0 버전부터 2.3.3 미만 버전에서 발생하는 취약점입니다. 특수하게 제작된 wheel 파일의 경로 탐색(../) 공격을 통해 Poetry 프로세스 권한으로 시스템의 임의 위치에 파일을 작성할 수 있습니다.
💡 쉬운 설명
악성 패키지를 설치할 때 공격자가 의도한 경로에 파일을 몰래 저장할 수 있는 문제입니다. 다만, 설치 후 사용자가 해당 패키지를 직접 실행해야 실제 악성 코드가 작동합니다.
🇺🇸 원문 (English)
Poetry is a dependency manager for Python. From version 1.4.0 to before version 2.3.3, a crafted wheel can contain ../ paths that Poetry writes to disk without containment checks, allowing arbitrary file write with the privileges of the Poetry process. It is reachable from untrusted package artifacts during normal install flows. (Normally, installing a malicious wheel is not sufficient for execution of malicious code. Malicious code will only be executed after installation if the malicious package is imported or invoked by the user.). This issue has been patched in version 2.3.3.
📍 영향받는 시스템
Poetry version 1.4.0 to 2.3.2
⚔️ 공격 벡터
특수하게 제작된 wheel 패키지 설치를 통한 경로 탐색(Path Traversal) 및 임의 파일 쓰기
🛡️ 대응 방법
Poetry를 2.3.3 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.3.3 미만(예: 1.x.x 또는 2.3.2 이하)일 경우 취약한 상태입니다.