🇰🇷 한글 설명
CVE-2023-28163과 유사하게, 'Save Link As'를 선택할 때 환경 변수 이름이 포함된 제안 파일명이 현재 사용자의 컨텍스트에서 해석되는 문제입니다. 이 버그는 Windows에서의 Firefox와 Thunderbird에만 영향을 미치며, 다른 플랫폼의 버전은 영향을 받지 않습니다. 해당 취약점은 Firefox 112 미만, Firefox ESR 102.10 미만, Thunderbird 102.10 미만 버전에 존재합니다.
💡 쉬운 설명
웹 링크를 저장할 때 파일 이름에 특정 문자열이 들어 있으면 컴퓨터 설정값이 자동으로 풀려서 표시될 수 있습니다. 이로 인해 사용자 환경 정보가 의도치 않게 노출될 수 있습니다.
🇺🇸 원문 (English)
Similar to CVE-2023-28163, this time when choosing 'Save Link As', suggested filenames containing environment variable names would have resolved those in the context of the current user.
*This bug only affects Firefox and Thunderbird on Windows. Other versions of Firefox and Thunderbird are unaffected.* This vulnerability affects Firefox < 112, Firefox ESR < 102.10, and Thunderbird < 102.10.
📍 영향받는 시스템
Windows용 Firefox 112 미만, Firefox ESR 102.10 미만, Thunderbird 102.10 미만
⚔️ 공격 벡터
악성 링크를 사용자가 저장할 때 환경 변수 이름이 포함된 파일명을 통해 사용자 환경 정보가 해석되도록 유도
🛡️ 대응 방법
Firefox 112 이상, Firefox ESR 102.10 이상, Thunderbird 102.10 이상으로 업데이트
🔧 검증 코드
출력된 버전이 Firefox 112 미만(또는 ESR 102.10 미만, Thunderbird 102.10 미만)이면 취약하며, 해당 버전 이상이면 패치가 적용된 것입니다. 이 명령은 Linux/macOS 환경 기준이며 Windows에서는 설치 경로의 버전 정보를 직접 확인해야 합니다.
firefox --version 2>/dev/null || (command -v thunderbird >/dev/null && thunderbird --version 2>/dev/null)