Python, 35년 된 API `os.path.commonprefix()` 폐기 결정
by DD
4개월 전
조회수 16
Python 표준 라이브러리 `os.path.commonprefix()` 함수가 보안 문제(Security Issues)와 사용자 혼란(User Confusion)을 야기하여 폐기될 예정임
함수의 위치(os.path 모듈)와 이름이 경로(Path) 관련 기능으로 오해받아 잘못 사용되는 사례가 빈번했음
`pip` 라이브러리를 포함, 다양한 프로젝트에서 해당 함수를 잘못 사용하여 경로 조작(Path Traversal) 취약점이 발생했음
`pathlib` 사용 권장 및 정적 분석 도구(Static Code Analysis)를 통한 안전한 코드 작성을 강조함
`os.path.commonprefix()`의 오해와 폐기 결정
Seth Larson은 35년 이상 사용된 `os.path.commonprefix()` 함수가 API 설계(API Design)의 문제점을 드러낸다고 지적한다. 특히, `os.path` 모듈 내 위치로 인해 경로 관련 함수로 오해받아 보안 취약점(Security Vulnerability)을 유발하는 사례가 다수 발생했다. 2002년부터 함수의 모호성이 지적되었음에도 불구하고, 하위 호환성(Backwards Compatibility) 유지를 위해 개선되지 못했다.
경로 조작(Path Traversal) 취약점의 실제 사례
`pip` 라이브러리에서 `os.path.commonprefix()`를 사용하여 경로 조작(Path Traversal) 취약점이 발생한 사례가 보고되었다. `is_within_directory()` 함수에서 이 함수를 잘못 사용하여, 압축 파일(Wheel Archive File)의 압축 해제 과정에서 임의의 파일에 접근할 수 있는 문제가 발생했다. Trellix의 CVE-2007-4559 완화 시도에서도 동일한 문제가 발견되었다.
