CVE-2022-36070 in Poetry
요약
\~에 의해 VulDB • 2026. 05. 29.
Poetry는 Python용 의존성 관리 도구입니다. Git 저장소에서 제공하는 의존성을 처리하기 위해 Poetry는 `git config` 등 다양한 명령어를 실행합니다. 이러한 명령어는 절대 경로 대신 실행 파일의 이름만으로 실행됩니다. 이로 인해 Windows가 실행 파일 이름을 경로로 해석하는 방식 때문에 신뢰할 수 없는 코드가 실행될 수 있습니다. 리눅스 기반 운영 체제와 달리 Windows는 먼저 현재 디렉토리에서 실행 파일을 검색한 후, `PATH` 환경 변수에 정의된 경로를 순회합니다. 이 취약점으로 인해 임의 코드 실행(Arbitrary Code Execution)이 가능해져 시스템 장악으로 이어질 수 있습니다. 개발자가 공격 대상이 되면 공격자는 자격 증명을 탈취하거나 접근 권한을 영구화할 수 있습니다. 서버에서 공격이 발생하면 공격자는 해당 접근 권한을 사용하여 내부 다른 시스템을 공격할 수 있습니다. 이 취약점은 상당한 양의 사용자 상호작용이 필요하므로 원격에서 악용 가능한 취약점만큼 위험하지는 않습니다. 그러나 개발자가 안전한 것으로 간주하는 방식으로 신뢰할 수 없는 파일을 다룰 때 여전히 위험에 노출됩니다. 또한 해당 동작이 문서화되지 않았기 때문에 피해자는 디렉토리에 존재할 수 있는 Git 또는 Poetry 구성 파일을 검토함으로써 자신을 보호할 수 없습니다. 버전 1.1.9 및 1.2.0b1에는 이 문제에 대한 패치가 포함되어 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.