🇰🇷 한글 설명
Spring Tools 4 for Eclipse(4.16.0 이하) 및 관련 VSCode 확장 프로그램들이 사용하는 Snakeyaml 라이브러리에서 취약점이 발견되었습니다. 공격자가 특수하게 조작된 YAML 파일을 통해 원격 코드 실행(RCE)을 수행할 수 있는 위험이 있습니다.
💡 쉬운 설명
개발 도구에서 사용하는 설정 파일(YAML)에 악성 코드를 숨겨두면, 파일을 열 때 컴퓨터가 해커의 명령을 실행할 수 있는 문제입니다. 이를 통해 해커가 사용자의 컴퓨터를 원격으로 제어할 수 있습니다.
🇺🇸 원문 (English)
Spring Tools 4 for Eclipse version 4.16.0 and below as well as VSCode extensions such as Spring Boot Tools, Concourse CI Pipeline Editor, Bosh Editor and Cloudfoundry Manifest YML Support version 1.39.0 and below all use Snakeyaml library for YAML editing support. This library allows for some special syntax in the YAML that under certain circumstances allows for potentially harmful remote code execution by the attacker.
📍 영향받는 시스템
Spring Tools 4 for Eclipse <= 4.16.0, VSCode extensions (Spring Boot Tools, Concourse CI Pipeline Editor, Bosh Editor, Cloudfoundry Manifest YML Support) <= 1.39.0
⚔️ 공격 벡터
악성 구문이 포함된 YAML 파일을 편집기로 열거나 로드할 때 발생
🛡️ 대응 방법
해당 개발 도구 및 VSCode 확장 프로그램을 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 확장 프로그램의 버전을 확인하여 1.39.0 이하인지 체크하십시오.
code --list-extensions | grep -E 'spring-boot-tools|concourse-ci-pipeline-editor|bosh-editor|cloudfoundry-manifest-yml-support'