CVE-2022-21668

요약

pipenv는 Python 개발 워크플로우 도구입니다. 버전 2018.10.9부터 2022.1.8 이전 버전까지, pipenv의 requirements 파일 파싱 결함으로 인해 공격자가 requirements.txt 파일 내 어디든지 주석 안에 특수하게 조작된 문자열을 삽입할 수 있으며, 이로 인해 pipenv를 사용하여 해당 requirements 파일을 설치하는 피해자는 공격자가 제어하는 패키지 인덱스 서버에서 의존성을 다운로드하게 됩니다. 공격자는 자신의 악성 인덱스 서버에서 제공되는 패키지에 악성 코드를 삽입함으로써 피해자 시스템에서 임의의 원격 코드 실행(RCE)을 유발할 수 있습니다. 공격자가 피해자가 pipenv로 설치하는 requirements 파일에 악성 `--index-url` 옵션을 숨길 수 있다면, 공격자는 자신의 악성 인덱스 서버에서 제공되는 패키지에 임의의 악성 코드를 삽입할 수 있으며, 이 코드는 설치 중에 피해자의 호스트에서 실행됩니다(원격 코드 실행/RCE). pip가 소스 배포판에서 설치할 때, setup.py의 모든 코드는 설치 프로세스에 의해 실행됩니다. 이 문제는 버전 2022.1.8에서 패치되었습니다. GitHub Security Advisory에 이 취약점에 대한 자세한 정보가 포함되어 있습니다.

• CVE-2022-21668-Pipenv-RCE-vulnerability연구

  Pipenv의 requirements.txt 파싱에서 발견된 치명적인 RCE 취약점인 CVE-2022-21668에 대한 상세 분석으로, 버그 코드, 익스플로잇 메커니즘, 수정 검증을 포함합니다.