Python 5개 계열 보안 업데이트…3.10 지원 종료·3.13 보안 수정 단계 전환

Python 개발팀이 10월 1일 3.10.22·3.11.17·3.12.15·3.13.16·3.14.8을 공개했다. 압축 파일 해제와 TLS 등의 보안 문제를 수정했으며, 3.10은 이번 버전을 끝으로 보안 지원도 종료된다. 3.13은 이후 보안 수정만 제공하고, 3.10~3.12의 이번 배포는 설치 프로그램 없이 소스 코드만 제공한다.

tarfile 추출 필터가 목적지 밖 파일을 노출하거나 외부 디렉터리를 만들 수 있는 취약점을 수정했다.

zipfile의 bzip2·LZMA 해제와 3.14의 Zstandard 해제에서 읽기당 메모리 할당을 제한했다. 특정 인터페이스가 없는 외부 해제기로 교체한 경우는 취약성이 남는다.

urllib.request의 인증정보를 URL 스킴별로 구분해 HTTPS 인증정보가 일치하는 HTTP URL에 사용되지 않도록 수정했다.

3.11 보안 지원은 2027년 10월, 3.12는 2028년 10월까지 이어진다. 3.13.16과 3.14.8은 바이너리 설치 프로그램을 포함한다.

macOS 27.0에서는 Tk 기반 앱의 대화상자 메뉴가 멈출 수 있다. 이번 발표는 OS 동작 변화에 따른 문제로 설명하며, 영향을 받는 작업 흐름의 시험이나 OS 업데이트 연기를 안내했다.

3.10 사용자는 이번 패치 적용과 별개로 지원 중인 계열로 이전해야 한다. 기존 배포 방식에 따라 소스 빌드나 배포판 패키지 갱신도 준비할 필요가 있다.