🇰🇷 한글 설명
pyp2spec는 Python 프로젝트를 위한 Fedora RPM spec 파일을 생성하는 도구로, 0.14.1 버전 이전에는 PyPI 패키지 메타데이터를 spec 파일에 작성할 때 RPM 매크로 디렉티브를 이스케이프하지 않았습니다. 악의적인 패키지 작성자가 메타데이터에 RPM 매크로 코드를 삽입하면, rpmbuild 실행 시 이 코드가 평가되어 빌드 머신에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
Python 설정 파일을 자동으로 만드는 도구가 악의적인 코드를 거르지 않았습니다. 공격자가 패키지 정보에 숨겨진 명령을 심으면, 이 파일을 처리할 때 공격자의 명령이 실행될 수 있습니다.
🇺🇸 원문 (English)
pyp2spec generates working Fedora RPM spec file for Python projects. Prior to version 0.14.1, pyp2spec was writing PyPI package metadata (e.g. the summary field) into the generated spec file without escaping RPM macro directives. When a packager then runs rpmbuild, those directives get evaluated, so a malicious package can execute arbitrary commands on the build machine. This issue has been patched in version 0.14.1.
📍 영향받는 시스템
pyp2spec < 0.14.1
⚔️ 공격 벡터
악의적인 PyPI 패키지 메타데이터(summary 필드 등)에 RPM 매크로 디렉티브를 삽입하여 spec 파일 처리 시 임의 코드 실행 유발
🛡️ 대응 방법
pyp2spec을 0.14.1 이상 버전으로 업그레이드
🔧 검증 코드
Version 필드가 0.14.1 이상이면 안전하고, 0.14.1 미만이면 취약함
pip show pyp2spec 2>/dev/null | grep -i version