🇰🇷 한글 설명
Snyk 1.1064.0 미만 버전에서 프로젝트 분석 시 코드 주입 취약점이 발견되었습니다. 공격자가 악성 프로젝트를 분석하도록 유도하면 build.gradle과 같은 빌드 파일에 포함된 명령어가 애플리케이션 권한으로 실행될 수 있습니다.
💡 쉬운 설명
해커가 만든 나쁜 프로젝트를 Snyk 도구로 검사하면, 검사 도구가 해커의 명령어를 대신 실행해버리는 보안 구멍입니다. 사용자가 의도치 않게 악성 파일을 열거나 검사할 때 발생할 수 있습니다.
🇺🇸 원문 (English)
The package snyk before 1.1064.0 are vulnerable to Code Injection when analyzing a project. An attacker who can convince a user to scan a malicious project can include commands in a build file such as build.gradle or gradle-wrapper.jar, which will be executed with the privileges of the application. This vulnerability may be triggered when running the the CLI tool directly, or when running a scan with one of the IDE plugins that invoke the Snyk CLI. Successful exploitation of this issue would likely require some level of social engineering - to coerce an untrusted project to be downloaded and analyzed via the Snyk CLI or opened in an IDE where a Snyk IDE plugin is installed and enabled. Additionally, if the IDE has a Trust feature then the target folder must be marked as ‘trusted’ in order to be vulnerable. **NOTE:** This issue is independent of the one reported in [CVE-2022-40764](https://security.snyk.io/vuln/SNYK-JS-SNYK-3037342), and upgrading to a fixed version for this addresses that issue as well. The affected IDE plugins and versions are: - VS Code - Affected: <=1.8.0, Fixed: 1.9.0 - IntelliJ - Affected: <=2.4.47, Fixed: 2.4.48 - Visual Studio - Affected: <=1.1.30, Fixed: 1.1.31 - Eclipse - Affected: <=v20221115.132308, Fixed: All subsequent versions - Language Server - Affected: <=v20221109.114426, Fixed: All subsequent versions
📍 영향받는 시스템
Snyk CLI < 1.1064.0, VS Code plugin <=1.8.0, IntelliJ plugin <=2.4.47, Visual Studio plugin <=1.1.30, Eclipse plugin <=v20221115.132308, Language Server <=v20221109.114426
⚔️ 공격 벡터
사회 공학적 기법을 통해 사용자가 악성 빌드 파일이 포함된 프로젝트를 Snyk CLI나 IDE 플러그인으로 스캔하도록 유도
🛡️ 대응 방법
Snyk CLI를 1.1064.0 이상으로 업데이트하고, 사용 중인 IDE 플러그인을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Snyk 버전이 1.1064.0 미만인지 확인하여 취약 여부를 판단합니다.