🇰🇷 한글 설명
Python 의존성 관리 도구인 Poetry의 특정 버전에서 sdist tarball 압축 해제 시 경로 탐색(Path Traversal) 보호가 누락되는 취약점이 발견되었습니다. 이는 tarfile.data_filter를 사용할 수 없는 특정 Python 버전(3.10.0-3.10.12, 3.11.0-3.11.4)에서 발생합니다.
💡 쉬운 설명
압축 파일을 풀 때 파일이 원래 위치가 아닌 시스템의 중요한 폴더에 저장될 수 있는 보안 약점입니다. 공격자가 이 점을 이용해 컴퓨터의 중요한 파일을 덮어쓰거나 조작할 수 있습니다.
🇺🇸 원문 (English)
Poetry is a dependency manager for Python. Prior to 2.3.4, the extractall() function in src/poetry/utils/helpers.py:410-426 extracts sdist tarballs without path traversal protection on Python versions where tarfile.data_filter is unavailable. Considering only Python versions which are still supported by Poetry, these are 3.10.0 - 3.10.12 and 3.11.0 - 3.11.4. This vulnerability is fixed in 2.3.4.
📍 영향받는 시스템
Poetry 2.3.4 미만 버전 및 특정 Python 버전 (3.10.0-3.10.12, 3.11.0-3.11.4)
⚔️ 공격 벡터
조작된 경로 정보가 포함된 sdist tarball 파일을 Poetry를 통해 압축 해제하도록 유도
🛡️ 대응 방법
Poetry를 최신 버전인 2.3.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.3.4 미만인지 확인하여 취약 여부를 판단합니다.