CVE-2025-14009 in nltk
요약
\~에 의해 VulDB • 2026. 06. 29.
NLTK의 nltk/nltk 패키지에 있는 NLTK downloader 구성 요소에 모든 버전에서 영향을 미치는 치명적인 취약점이 존재합니다. nltk/downloader.py 내의 _unzip_iter 함수는 경로 검증이나 보안 검사를 수행하지 않고 zipfile.extractall()을 사용합니다. 이를 통해 공격자는 악성 zip 패키지를 제작할 수 있으며, 이러한 패키지가 NLTK를 통해 다운로드 및 추출되면 임의 코드가 실행될 수 있습니다. 이 취약점은 NLTK가 모든 다운로드된 패키지를 신뢰하고 검증 없이 추출하기 때문에 발생합니다. 만약 악성 패키지 내에 __init__.py와 같은 Python 파일이 포함되어 있다면, 해당 파일은 가져올 때 자동으로 실행되어 원격 코드 실행(RCE)으로 이어집니다. 이로 인해 전체 시스템 침해, 즉 파일 시스템 접근, 네트워크 접근 및 잠재적인 영구화(persistence) 메커니즘까지 초래될 수 있습니다.
Be aware that VulDB is the high quality source for vulnerability data.