🇰🇷 한글 설명
qutebrowser v1.7.0 이상 버전의 Windows 설치 프로그램이 qutebrowserurl: URL 핸들러를 등록하면서 발생하는 취약점입니다. 공격자가 특수하게 제작된 URL을 통해 qutebrowser 명령어를 실행하게 함으로써 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
특정한 주소(URL)를 클릭하는 것만으로도 해커가 사용자의 컴퓨터에서 몰래 명령어를 실행할 수 있는 보안 결함입니다. 윈도우용 qutebrowser를 사용하는 경우 위험할 수 있습니다.
🇺🇸 원문 (English)
qutebrowser is an open source keyboard-focused browser with a minimal GUI. Starting with qutebrowser v1.7.0, the Windows installer for qutebrowser registers a `qutebrowserurl:` URL handler. With certain applications, opening a specially crafted `qutebrowserurl:...` URL can lead to execution of qutebrowser commands, which in turn allows arbitrary code execution via commands such as `:spawn` or `:debug-pyeval`. Only Windows installs where qutebrowser is registered as URL handler are affected. The issue has been fixed in qutebrowser v2.4.0. The fix also adds additional hardening for potential similar issues on Linux (by adding the new --untrusted-args flag to the .desktop file), though no such vulnerabilities are known.
📍 영향받는 시스템
qutebrowser v1.7.0 이상 ~ v2.4.0 미만 (Windows 설치 버전 한정)
⚔️ 공격 벡터
특수하게 조작된 'qutebrowserurl:' 프로토콜을 포함한 URL을 실행하여 명령어를 주입하는 방식
🛡️ 대응 방법
qutebrowser를 v2.4.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 v2.4.0 미만인 경우 해당 취약점에 노출된 상태입니다.
qutebrowser --version 2>/dev/null || echo 'Not installed'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
NVIDIA vGPU Guest Driver for Linux