🇰🇷 한글 설명
pip 26.1 이전 버전에서 wheel 파일 설치 후 self-update 기능이 실행될 때 잘 알려진 Python 모듈을 import하여 악의적인 wheel 파일이 동명의 모듈을 주입할 수 있는 supply chain 취약점. 패치는 self-update 기능을 wheel 설치 전에 실행하여 모듈 주입 공격을 방지.
💡 쉬운 설명
pip 설치 도구에서 악의적인 패키지 설치 후 업데이트 확인 시 진짜 모듈 대신 가짜 모듈을 실행할 수 있었습니다. 업데이트 확인을 먼저 수행하도록 변경하여 방지했습니다.
🇺🇸 원문 (English)
pip prior to version 26.1 would run self-update check functionality after installing wheel files which required importing well-known Python modules names. These module imports were intentionally deferred to increase startup time of the pip CLI. The patch changes self-update functionality to run before wheels are installed to prevent newly-installed modules from being imported shortly after the installation of a wheel package. Users should still review package contents prior to installation.
📍 영향받는 시스템
pip < 26.1 (모든 Python 환경)
⚔️ 공격 벡터
악의적인 wheel 파일 설치 시 공격자가 Python 표준 모듈명과 동일한 디렉토리를 생성하여 self-update check에서 악성 코드를 실행하도록 유도
🛡️ 대응 방법
pip를 26.1 이상으로 업그레이드 (pip install --upgrade pip)
🔧 검증 코드
명령어 실행 시 'Patched'가 출력되면 안전한 버전이고, 'Vulnerable'이 출력되면 업그레이드 필요
pip --version | awk '{print $2}' | awk -F. '{if($1==26 && $2>=1 || $1>26) print "Patched"; else print "Vulnerable"}'