🇰🇷 한글 설명
python-utcp의 _prepare_environment() 함수가 전체 os.environ을 CLI 서브프로세스에 전달하여 환경 변수 노출 문제 발생. CVE-2026-45369와 결합 시 프로세스 레벨의 모든 시크릿(API 키, 토큰 등)을 단일 도구 호출로 탈취 가능. 버전 1.1.3에서 수정됨.
💡 쉬운 설명
python-utcp 프로그램이 민감한 정보(비밀번호, API 키 등)를 실행되는 모든 작은 프로그램들에게 무분별하게 노출시키는 문제가 있습니다. 공격자가 다른 취약점과 함께 이를 악용하면 이 민감한 정보들을 모두 빼낼 수 있습니다.
🇺🇸 원문 (English)
python-utcp is the python implementation of UTCP. Prior to 1.1.3, _prepare_environment() in cli_communication_protocol.py passes a full copy of os.environ to every CLI subprocess. When combined with CVE-2026-45369, an attacker can exfiltrate all process-level secrets in a single tool call. This vulnerability is fixed in 1.1.3.
📍 영향받는 시스템
python-utcp < 1.1.3 (1.1.2 이하 모든 버전)
⚔️ 공격 벡터
CVE-2026-45369 취약점과 결합하여 CLI 도구 호출 시 os.environ 전체를 통한 환경 변수 탈취
🛡️ 대응 방법
python-utcp를 1.1.3 이상으로 업그레이드 (pip install --upgrade python-utcp)
🔧 검증 코드
표시된 버전이 1.1.3 이상이면 안전, 미만이면 즉시 업그레이드 필요
pip show python-utcp | grep Version || python -c "import pkg_resources; print(pkg_resources.get_distribution('python-utcp').version)"