🇰🇷 한글 설명
1.996.0 미만 버전의 Snyk CLI에서 임의 명령 실행이 가능하여 Snyk IDE 플러그인과 snyk npm 패키지에 영향을 미칩니다. 공격자는 Visual Studio Code와 같은 에디터에서 신뢰할 수 없는 파일을 열 때 쉘 메타문자를 이용해 악성 명령을 실행할 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 설정 파일을 통해 사용자의 컴퓨터에서 몰래 명령어를 실행할 수 있는 보안 약점입니다. 개발 도구에서 검증되지 않은 파일을 열기만 해도 위험할 수 있습니다.
🇺🇸 원문 (English)
Snyk CLI before 1.996.0 allows arbitrary command execution, affecting Snyk IDE plugins and the snyk npm package. Exploitation could follow from the common practice of viewing untrusted files in the Visual Studio Code editor, for example. The original demonstration was with shell metacharacters in the vendor.json ignore field, affecting snyk-go-plugin before 1.19.1. This affects, for example, the Snyk TeamCity plugin (which does not update automatically) before 20220930.142957.
📍 영향받는 시스템
Snyk CLI < 1.996.0, snyk-go-plugin < 1.19.1, Snyk TeamCity plugin < 20220930.142957
⚔️ 공격 벡터
vendor.json의 ignore 필드 등에 포함된 쉘 메타문자를 이용한 파일 로드 시 공격
🛡️ 대응 방법
Snyk CLI를 1.996.0 이상 버전으로 업데이트하고 관련 플러그인을 최신 버전으로 갱신하십시오.
🔧 검증 코드
출력된 버전이 1.996.0 이상인지 확인하여 취약점 여부를 판단합니다.
snyk --version | grep -E '1\.(99[6-9]|\d{4,})'