🇰🇷 한글 설명
setuptools 83.0.0 미만 버전에서 Unicode 정규화 문제로 인해 MANIFEST.in의 제외 규칙이 제대로 적용되지 않는 취약점이 발견되었습니다. macOS의 APFS 또는 HFS+ 파일 시스템에서 NFD 형식의 파일 이름이 NFC 기반의 제외 규칙을 우회하여 소스 배포판에 포함될 수 있습니다.
💡 쉬운 설명
파일 이름을 처리하는 방식의 차이 때문에, 제외하기로 설정한 파일이 실수로 배포 파일에 포함될 수 있는 문제입니다. 특히 맥(macOS) 환경에서 파일 이름의 글자 처리 방식 차이로 인해 발생합니다.
🇺🇸 원문 (English)
setuptools is a package that allows users to download, build, install, upgrade, and uninstall Python packages. Prior to 83.0.0, FileList applied MANIFEST.in exclude, global-exclude, recursive-exclude, and prune directives by matching compiled glob patterns against on-disk file names without Unicode normalization, so on macOS APFS or HFS+ an NFD file name could bypass an NFC exclusion rule and be packed into a source distribution. This issue is fixed in version 83.0.0.
📍 영향받는 시스템
setuptools 83.0.0 미만 버전 (macOS APFS/HFS+ 환경)
⚔️ 공격 벡터
NFD 방식의 파일 이름을 사용하여 MANIFEST.in의 제외 규칙을 우회하고 민감한 파일을 배포판에 포함시킴
🛡️ 대응 방법
setuptools를 83.0.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 83.0.0보다 낮으면 취약한 버전입니다.
pip show setuptools | grep Version