파이썬 도구 uv 개발진, 보안 문제로 2배 빠른 러스트 tar 파서 직접 새로 만듦

요약 파이썬 패키지 관리 도구 'uv'의 개발사 Astral이 기존 구현체 대비 약 2배 빠르고 보안성을 대폭 강화한 새로운 러스트(Rust) 기반 tar 파서 'tar-codec'을 공개했습니다. uv는 0.13 버전부터 소스 배포판(sdist) 처리에 이 새로운 파서를 도입했습니다. 파이썬 패키지 생태계에서 바이너리나 사전 빌드된 패키지(wheel)는 ZIP 형식을 사용하는 반면, 소스 배포판은 tar 형식을 기반으로 합니다. uv 팀은 그동안 astral-tokio-tar를 사용해 왔으나, 약 1년 전부터 여러 보안 취약점 보고를 받으면서 압축 및 아카이브 처리 스택 전반을 점검하게 되었습니다. 조사 과정에서 파서 간 불일치로 인한 동기화 오류(Parser Differentials) 문제가 드러났습니다. 동일한 압축 파일(tarball)임에도 패키지 인덱스(PyPI)와 설치 도구(uv, pip 등)가 서로 다른 내용으로 해석하여, 인덱스 검사에서는 정상적인 파일처럼 보이지만 실제 설치 환경에서는 악의적인 파일이 추가되거나 덮어써지는 심각한 위협이 존재했던 것입니다. 기존 tokio-tar 기반 코드는 설계상 지나치게 허용적(lenient)이었기 때문에 제약 조건을 사후에 덧붙이는 것보다 처음부터 완전히 새로운 파서를 바닥부터 구축하는 것이 안전성과 성능 측면 모두에서 낫다고 판단했습니다. 이에 따라 보안 위협 요소를 원천 차단하고 기존 대비 2배 빠른 속도를 확보한 tar-codec을 새로 개발해 적용하게 되었다고 설명했습니다.