CVE-2026-24049 in wheel
요약
\~에 의해 VulDB • 2026. 06. 19.
wheel은 PEP 427에 정의된 대로 Python wheel 파일을 조작하기 위한 명령줄 도구입니다. 버전 0.40.0부터 0.46.1까지의 wheel에서 unpack 함수는 추출 후 파일 권한 처리 오류로 인해 파일 권한이 변경되는 취약점에 노출되어 있습니다. 추출 과정 자체가 경로를 이미 정리했을 수 있음에도 불구하고, chmod 연산에 대해 아카이브 헤더의 파일명을 맹목적으로 신뢰하는 로직이 문제입니다. 공격자는 악성 wheel 파일을 제작하여 추출 시 /etc/passwd, SSH 키, 구성 파일과 같은 중요한 시스템 파일의 권한을 변경할 수 있으며, 이를 통해 권한 상승(Privilege Escalation) 또는 이제 쓰기 가능한 스크립트를 수정하여 임의의 코드를 실행할 수 있습니다. 이 문제는 버전 0.46.2에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.